VeilleTech — 2026-10-25

01 SÉCURITÉ Faille

Brotli : Python, Bun et Envoy aussi exposés

The Hacker News24 octobre3 min de lecture

La faille CVE-2026-111497 du décodeur Brotli de Google ne concerne pas que Node.js : Bun, Envoy, Istio et les paquets Python Brotli et brotlicffi embarquent la même copie vulnérable, et chacun doit être mis à jour séparément. En Python, les clients HTTP décodent le Brotli dès qu'un des deux paquets est installé, et pip-audit ou Dependabot ne le signalent pas encore.

CVE-2026-111497 : Brotli 1.2.1 · brotlicffi 1.2.1.0 · Bun 1.4.4
Envoy 1.40.0 · 1.39.3 · 1.38.6 · 1.37.8 — Istio 1.31.2 · 1.30.6 · 1.29.9
Sans mise à jour : désinstaller Brotli et brotlicffi, ou refuser Content-Encoding: br

Votre scanner de dépendances ne voit pas encore ce paquet Python.

Lire la fiche Source

02 SÉCURITÉ Faille

LiteLLM : la clé jamais révoquée ouvre la release

The Hacker News24 octobre3 min de lecture

LiteLLM détaille l'attaque derrière sa version 1.107.0 piégée : une clé maître commitée par erreur le 27 mai 2026 n'a jamais été révoquée, puis a donné accès à un jeton GitHub de propriétaire d'organisation. L'attaquant a publié la release en détournant la double approbation, assouplie quelques jours plus tôt. L'hypothèse des journaux avancée le 22 octobre est écartée.

Clé maître commitée le 27/05/2026, jamais révoquée ; utilisée le 10/10 depuis 69.48.229[.]143
.github/workflows/cache.yml · branches ci-tmp-a351cc et ci-tmp-4d8517 · webhook[.]site
Release 1.107.0 le 21/10 via le dépôt sosie Berri-AI/litellm ; double approbation assouplie

Réécrire l'historique Git ne révoque aucune clé.

Lire la fiche Source

03 SÉCURITÉ Faille

Popcorn Time : un updater orphelin neutralisé

The Hacker News24 octobre3 min de lecture

Eye Security a désactivé à distance l'updater de Time4Popcorn, une copie abandonnée de Popcorn Time, en lui poussant plus de 2 millions de mises à jour : il installait sans vérification, en clair et avec les droits les plus élevés, ce que lui servaient des domaines expirés. Le cas rappelle ce que coûte un domaine d'updater laissé libre.

CVE-2026-30612 (9,8) : Windows ≤ 6.2.1.18 · Mac ≤ 6.2.1.17 · Android ≤ 3.5.0.173
2,5 à 3 M de PC Windows et 250 à 350 k Mac ; 50 requêtes/s sur un seul domaine
Repérer : Updater.exe (Windows) · PT.updd (Mac) ; désinstaller l'application

Un domaine expiré dans un updater, c'est une exécution de code à vendre.

Lire la fiche Source

04 PYTHON Discussion

uv et ty : uv check vérifie projets et scripts

astral.sh24 octobre2 min de lecture

Astral lance en préversion l'intégration de uv et de ty : ty vérifie désormais les scripts PEP 723 contre leurs propres dépendances, et la commande uv check prépare l'environnement puis lance le vérificateur de types, avec la version de ty verrouillée dans uv.lock. Cela supprime une étape manuelle et une source de divergence entre poste et CI.

Requis : uv 0.12.3+ et ty 0.0.76+ (expérimental)
uv check · uv check --all-packages · uv check --script exemple.py
CLI : TY_UV=scripts ty check ; VS Code : ty.experimental.useUv

Un seul verrou pour l'environnement et pour le vérificateur de types.

Lire la fiche Source

05 LLM Discussion

gpu-unlock : BF16 jusqu'à +81 % sur les RTX série 30

GitHub24 octobre3 min de lecture

Un module noyau Linux sous GPL, gpu-unlock, lève la limite de débit des instructions FP16 et BF16 sur les cartes Nvidia GA102, GA103, GA104 et GA106 (RTX série 30) avant que le pilote ne les prenne. Sur une 3090 Ti, le BF16 passe de 87,5 à 157,4 TFLOPS ; le prefill d'un LLM gagne 14 à 36 % selon les rapports d'utilisateurs, le décodage ne bouge pas.

3090 Ti, GEMM 8192³ : BF16 87,50 → 157,41 TFLOPS ; FP16 87,46 → 118,39
Prefill LLM +14 à +36 % (rapports utilisateurs) ; décodage inchangé
make install, puis gpu_unlock.targets=all dans la ligne de commande du noyau

Le prefill y gagne, le décodage attend toujours la mémoire.

Lire la fiche Source

VeilleTech — feed du dimanche 25 octobre