VeilleTech — 2026-10-24

01 SÉCURITÉ Faille

Node2Shell : le bug Brotli donne bien un RCE

The Hacker News23 octobre3 min de lecture

Imperva a fait exécuter du code à l'image officielle Node.js 24.22.0 (Linux arm64) en lui envoyant des données Brotli forgées, par la faille CVE-2026-111497 que la fiche du 22 octobre rangeait parmi les failles hautes. Les services qui décodent du Brotli non fiable (fetch, parseurs d'Express 5) sont exposés ; aucune exploitation dans la nature n'était signalée le 22 octobre.

CVE-2026-111497 : écriture hors limites dans le décodeur Brotli de Node
Corrigé : Node 24.22.1 · 22.23.4 · 26.12.1 (21/10/2026)
Atteint via fetch() et les parseurs Express 5 (5.0.0 à 5.3.0 testés)

Une image Docker garde son Node jusqu'à sa reconstruction.

Lire la fiche Source

02 SÉCURITÉ Faille

Pillow 13 : un nom de fichier EPS lance des commandes

The Hacker News23 octobre3 min de lecture

Pillow 13.0.0 (16 octobre) corrige CVE-2026-112900 : pour ouvrir un EPS, Pillow passe le nom du fichier à Ghostscript sans le vérifier, et un nom choisi par l'attaquant suffit à lancer des commandes. La version corrige aussi une faille FlashPix qui exécute une commande depuis Image.open() et deux dépassements mémoire (JPEG, TIFF). Aucune exploitation n'est connue.

CVE-2026-112900 : EPS vers Ghostscript, Pillow 2.6.0 à 12.3.0, si gs est installé
Corrigé dans Pillow 13.0.0 (16/10/2026), qui abandonne Python 3.10
pip install -U "Pillow>=13.0.0" ; retirer gs des hôtes qui reçoivent des envois

Le danger n'était pas dans l'image, mais dans son nom.

Lire la fiche Source

03 SÉCURITÉ Faille

Ruby 4.0.9 : les bugs de regex derrière GitLab

The Hacker News23 octobre3 min de lecture

Ruby 4.0.9, 3.4.12 et 3.3.13 corrigent trois bugs d'Onigmo, le moteur de regex, à l'origine des quatre failles critiques GitLab corrigées depuis le 23 septembre. Toute application qui compile une regex à partir d'un texte contrôlé par un attaquant est concernée ; Regexp.timeout ne protège pas, et Ruby n'a pas demandé de CVE, donc les scanners risquent de ne rien voir.

Ruby 4.0.9 · 3.4.12 · 3.3.13 ; la 4.0.8 ne suffit pas (CVE-2026-110264)
Concerné : Regexp.new, union, compile et /#{saisie}/ sur texte non fiable
Ruby 3.2 (fin de vie le 01/04/2026) ne sera pas corrigé

Une regex bâtie sur une saisie, c'est du code écrit par autrui.

Lire la fiche Source

04 SÉCURITÉ Faille

PHP : CVE-2026-115560, coupez l'upload progress

The Hacker News23 octobre2 min de lecture

Deux jours après les correctifs d'urgence de PHP2Shell, PHP avertit d'une autre voie d'exécution de code, CVE-2026-115560, qui exige une configuration inhabituelle : serialize_handler modifié à l'exécution et suivi d'envoi de fichiers actif. Pas de correctif d'urgence : le projet conseille session.upload_progress.enabled=0 en attendant la prochaine version corrective.

CVE-2026-115560, avis PHP du 23/10/2026, sans correctif d'urgence
Conditions : php_binary ou php_serialize, puis ini_set vers php avant session_start()
À régler : session.upload_progress.enabled=0

Un seul réglage, déjà conseillé il y a deux jours.

Lire la fiche Source

05 SYMFONY Article

Symfony 8.2 : MongoDB pour le cache et Messenger

Symfony23 octobre2 min de lecture

Symfony 8.2 ajoute MongoDB au composant Cache (MongoDbAdapter, MongoDbTagAwareAdapter) et à Messenger (transport fondé sur facile-it/mongodb-messenger-transport), en plus des sessions et des verrous déjà pris en charge. Le transport lit plusieurs files en une requête et permet d'enregistrer un message dans la même transaction que les données.

MongoDbTagAwareAdapter : invalider une étiquette = une seule requête de suppression
Transport Messenger : messages réclamés atomiquement, redeliver_timeout d'une heure par défaut
MongoDbSessionStamp : message et données dans la même transaction

Un service de moins à exploiter, si MongoDB est déjà là.

Lire la fiche Source

06 CLOUDFLARE Article

Cloudflare : Origin Range Requests, sans réglage

Cloudflare23 octobre4 min de lecture

Cloudflare ouvre à tous les forfaits Origin Range Requests : un cache des requêtes Range qui découpe les fichiers en morceaux de taille fixe, au lieu d'une tranche réglée par zone. Sur R2, le p99 du premier octet a été divisé par deux et le trafic entre niveaux de cache a baissé d'environ 6 %.

Ancienne tranche de R2 : 64 MiB, soit jusqu'à 128 MiB transférés pour une petite lecture
R2 : p99 du premier octet divisé par deux, trafic de cache −6 % d'une semaine à l'autre
Activation : Cache Rule, origin_range_requests: { "mode": "on" }

Sauter dans une vidéo ne devrait pas coûter cent vingt-huit mégaoctets.

Lire la fiche Source

07 IA Article

Vercel Agent : le plan fixe les permissions

Vercel23 octobre3 min de lecture

Vercel détaille comment son agent agit sur la production : il enquête en lecture seule, propose un plan avec les scopes requis, puis n'agit qu'avec un jeton limité à ce qui a été approuvé. Les limites sont décrites aussi : l'écriture sur les déploiements est plus large qu'un redéploiement, et la lecture seule peut exposer des données sensibles.

Base automatique : tous les scopes read: (par exemple read:deployment)
Redéploiement : read-write:deployment, approuvé en bloc avec le plan
Hors des scopes du jeton, l'API Vercel refuse, quoi que dise le prompt

On limite un agent par son jeton, pas par sa consigne.

Lire la fiche Source

08 LLM Article

vLLM sert GLM-5.3 en contexte 1M sur 16 H200

vLLM23 octobre3 min de lecture

L'équipe vLLM décrit comment servir GLM-5.3 sur 16 H200 avec des contextes jusqu'à 1 million de jetons : prefill réparti par jetons (PCP), cache KV réparti à son tour (DCP), decode avec KV en mémoire de l'hôte. Sur le benchmark AgentX, la vitesse par utilisateur est de 1,7 à 3,2 fois celle d'un déploiement en parallélisme de données, au même débit.

1 M de jetons = 53,4 GiB de KV en FP8 ; avec DCP8, 6,7 GiB par GPU
AgentX : 1,7 à 3,2× la vitesse par utilisateur ; TTFT médian de 0,8 à 0,9 s
vLLM 0.32.0 ou plus ; --prefill-context-parallel-size 8 --decode-context-parallel-size 8

Le contexte long se paie en mémoire avant de se payer en calcul.

Lire la fiche Source

VeilleTech — feed du samedi 24 octobre