VeilleTech — 2026-10-26

01 SÉCURITÉ Faille

Tailscale SSH : root possible, aucun correctif

The Hacker News25 octobre3 min de lecture

Un rapport nommé Tailworm, publié le 25 octobre par Erica Windisch (Cyberdione Labs), affirme qu'un appareil déjà piraté suffit à obtenir root sur les serveurs que les règles lui permettent d'atteindre via Tailscale SSH, dès que le transfert de port est autorisé. Tailscale n'a publié ni correctif, ni CVE, ni bulletin : les parades sont des réglages. Les résultats viennent d'un seul rapport non reproduit, et le terme « wormable » est contesté.

Tailworm : Tailscale 1.104.2 · headscale 0.29.5 testés — ni CVE, ni correctif
Parades : règles SSH par paire source-destination, transfert de port coupé, expiration des clés
headscale 0.29.5 : transfert non désactivable, chaque accès SSH vaut root

Sans correctif, c'est votre fichier de règles qui fait barrière.

Lire la fiche Source

02 PHP Discussion

PHP2Shell : Unit 42 retire son lien, le scan continue

The Hacker News25 octobre3 min de lecture

Palo Alto Unit 42 retire son affirmation selon laquelle une attaque contre une agence européenne, menée avec un agent d'IA, relevait de PHP2Shell : l'accès initial n'est pas confirmé. Le scan continue, dont une campagne soupçonnée d'être nord-coréenne (21 nœuds, 216 hôtes visés). Le marqueur p2s-rider et la séquence d'erreurs relevée par ReliaQuest servent à chercher dans les journaux.

Unit 42 : accès initial non confirmé comme PHP2Shell (CVE-2026-109618, CVE-2026-109619)
Marqueur p2s-rider dans PHP_SESSION_UPLOAD_PROGRESS · IP 204.76.203.7
POST en 500 → mémoire épuisée → worker Apache planté · PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35

Un scan lent ne déclenche aucune alerte à seuil.

Lire la fiche Source

03 LLM Discussion

Agents de code : le cache read pèse 96 à 99 % du coût

Max Woolf's Blog25 octobre3 min de lecture

Max Woolf estime que, pour un agent de code, la lecture du cache représente 96 à 99 % des tokens dépensés : ce qui compte est le prix du cache read et le taux de réussite du cache, pas le prix d'entrée. Anthropic a baissé de 75 % le cache read de Fable 5.1, et DeepSeek le fixe à 2 % du prix d'entrée. Mesures d'un seul auteur et tarifs relevés au 24 octobre.

Cache read : 96 à 99 % des tokens d'un agent de code, taux de réussite de 90 à 100 %
Fable 5.1 : cache read de 1 $ à 0,25 $ le million (−75 %), prix d'entrée et de sortie inchangés
DeepSeek V4.1 Flash : cache read à 0,003 $, soit 2 % de l'entrée (0,15 $)

Comparez le prix du cache, pas celui de l'entrée.

Lire la fiche Source

04 IA Discussion

Un CNN de 2015 bat deux LLM sur les cancers de peau

lynchlab.net25 octobre3 min de lecture

Le dermatologue Magnus Lynch a testé GPT-6 Astra et Claude Fable 5.1 sur 200 lésions confirmées par biopsie : 42 % de bons diagnostics, contre 62 % pour Inception v3 (2015), réentraîné une vingtaine de minutes. Un billet non relu par des pairs, sur de petits effectifs, mais dont les cas, les consignes et le code de notation sont publiés.

200 lésions : Inception v3 62 % (125) · GPT-6 Astra 42 % (84) · Fable 5.1 42 % (85)
Inception v3 réentraîné sur 68 011 images, environ 20 min sur un H100
Seuil préréglé : 18 mélanomes sur 30 écartés, contre 3 et 4 pour les LLM

Avant de payer un généraliste, testez un petit modèle réglé pour la tâche.

Lire la fiche Source

05 SÉCURITÉ Faille

wordexp(3) : le drapeau NOCMD ne suffit pas

yossarian.net25 octobre1 min de lecture

La fonction POSIX wordexp(3), souvent recommandée pour développer le tilde, exécute des commandes par défaut : une chaîne contenant $(whoami) suffit. Le drapeau WRDE_NOCMD ne protège pas partout, car musl et macOS délèguent au shell avec un filtre incomplet. À ne pas utiliser sur une entrée non fiable.

`wordexp` sur la chaîne `$(whoami)/foo` exécute whoami
WRDE_NOCMD contourné sur musl, et sur macOS encore en 2023 (Julian Squires)
Entrée non fiable : pas de wordexp ; remplacer le tilde soi-même

Un drapeau de sécurité qui dépend de la libc n'est pas une garantie.

Lire la fiche Source

VeilleTech — feed du lundi 26 octobre