VeilleTech — 2026-10-27

01 PHP Discussion

PHP sous Windows : reconstruire pour Brotli

The Hacker News26 octobre3 min de lecture

PHP a reconstruit le 26 octobre ses paquets Windows 8.2 à 8.5 pour embarquer Brotli 1.2.1, qui corrige CVE-2026-111497 (corruption de mémoire, exécution de code possible). La faille s'atteint par l'extension cURL quand la décompression automatique est active, ce qui est le cas par défaut de Guzzle. Le numéro de version PHP ne change pas : seul le suffixe -1 du fichier identifie le nouveau build.

CVE-2026-111497 · Brotli 1.2.0 touché, 1.2.1 corrige · builds 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1
Guzzle 7.16.1 et 8.3.1 : CURLOPT_ENCODING vide par défaut · parade decode_content = false
php -v ne change pas : repérer le suffixe -1 et le SHA-256 de la page de téléchargement

Même numéro de version, binaire différent.

Lire la fiche Source

02 SÉCURITÉ Faille

Gheist : jetons GitHub volés, secrets dans les logs

The Hacker News26 octobre3 min de lecture

Wiz décrit Gheist, une campagne automatisée qui utilise des jetons GitHub volés pour pousser un workflow qui imprime les secrets du dépôt, encodés en base32, dans les journaux Actions, puis les télécharge et supprime l'exécution. Plus de 13 500 branches et 850 comptes sont concernés, avec des succès sur des dépôts privés et GitHub Enterprise. La protection de GitHub ne couvre que les dépôts publics de github.com.

Branche ci-sync-xxxxxx · fichier .github/workflows/sync-check.yml · message « ci: sync config »
13 500+ branches, 850+ comptes · agent utilisateur gheist dans les journaux d'audit
Blocage GitHub depuis le 28/07 : dépôts publics de github.com seulement

Supprimer la branche ne rend pas les secrets.

Lire la fiche Source

03 PYTHON Article

Python : cinq versions corrigent la faille eMudhra

Python Insider26 octobre1 min de lecture

Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 et 3.11.18 corrigent CVE-2026-115557 (CVSS 9,4), liée aux clés d'autorité eMudhra compromises : le module ssl refuse désormais les chaînes qui les utilisent. Elles corrigent aussi un contournement du filtre tar de tarfile (CVE-2026-114583) et un défaut de http.cookiejar. Le Python Release Team conseille aussi pip 26.2.2, certifi 2026.10.19 et uv 0.13.4.

CVE-2026-115557 (9,4) · Python 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18
Aussi : CVE-2026-114583 (tarfile, filtre tar contourné) et http.cookiejar
À mettre à jour en plus : pip 26.2.2 · certifi 2026.10.19 · uv 0.13.4

Un correctif de l'interpréteur ne remplace pas celui de pip.

Lire la fiche Source

04 IA Article

Workers AI : le cache KV fuit d'un client à l'autre

Cloudflare26 octobre3 min de lecture

Du 27 août au 9 septembre, 155 réponses de GLM 5.3 sur Workers AI ont contenu des données d'autres clients : le cache KV de prefill était plus petit que le contexte annoncé, et SGLang acceptait au lieu de rejeter les prompts trop longs. Cloudflare a corrigé sa configuration et publié avec SGLang un correctif, disponible en 0.5.22. Le contrôle à faire chez soi : pool KV contre longueur de contexte.

155 réponses touchées · prompts > 681 280 tokens · du 27/08 au 09/09/2026
Pool KV de 681 280 tokens < contexte de 1 048 576 : réponse 200 au lieu de 400
Correctif : SGLang 0.5.22 ou plus · pool de prefill porté à environ 2,04 M de tokens

Un statut 200 ne prouve pas que la réponse est la vôtre.

Lire la fiche Source

05 SÉCURITÉ Faille

Agents de code : un AGENTS.md piégé dans Downloads

The Hacker News26 octobre3 min de lecture

Forever Security a intercepté sur la machine d'un client un AGENTS.md déposé dans Downloads, qui demandait à l'agent d'installer le paquet npm function-color (campagne MALFEX). L'attaque repose sur deux comportements normaux : l'agent suit le fichier d'instructions du dossier, et une page web peut écrire dans Downloads sans permission. Forever l'a reproduite sur Codex (plus de 90 %) et sur Claude Code (environ une approbation sur deux).

Paquet npm function-color → function-flag (campagne MALFEX) demandé par un AGENTS.md
Codex : > 90 % de réussite via ~/.codex/config.toml · Claude Code : environ 50 % via ANTHROPIC_BASE_URL
Ne pas lancer d'agent dans ~/Downloads · relire tout AGENTS.md ou CLAUDE.md inconnu

Votre agent fait confiance au dossier où vous l'ouvrez.

Lire la fiche Source

06 PHP Article

NativePHP Mobile : sept avis, passez en 4.6.1

Laravel News26 octobre3 min de lecture

NativePHP publie ses sept premiers avis de sécurité pour NativePHP Mobile, dont cinq élevés (CVSS 7,4 à 8,1), corrigés dans nativephp/mobile 4.6.1 et 3.3.11 et dans mobile-file 1.0.3. Les routes internes /_native/api/* n'avaient pas de middleware. Les applications embarquent leur propre PHP : un simple composer update ne protège personne, il faut reconstruire et republier l'application.

7 avis (GHSA-9884-fw9c-mq85 et six autres) · corrigés en 4.6.1, 3.3.11 · mobile-file 1.0.3
Reconstruire pour PHP 8.5.12, 8.4.27 ou 8.3.36 · php artisan native:install --force
Versions 1.x et 2.x de nativephp/mobile en fin de vie, sans correctif

Pour une application mobile, le correctif part au magasin.

Lire la fiche Source

07 SYMFONY Article

Symfony 8.2 : l'inbox Messenger contre les doublons

Symfony26 octobre2 min de lecture

Symfony 8.2 ajoute à Messenger une option inbox qui note, dans la même transaction que les handlers, les messages déjà traités dans une table messenger_inbox, et ignore leurs redistributions. C'est la contrepartie de l'outbox : plus besoin de rendre chaque handler idempotent à la main. Elle exige le bridge Doctrine, la même connexion que les handlers, et une rétention supérieure au délai de redistribution.

Option inbox du transport · table messenger_inbox · messenger:setup-transports
retention : 7 jours par défaut, à garder plus longue que la redistribution du transport
DispatchAfterCurrentBusStamp exige un transport avec outbox · messages par lot non enregistrés

Livrer au moins une fois ne devrait plus vouloir dire traiter deux fois.

Lire la fiche Source

08 SYMFONY Article

Symfony AI 1.0.0-BETA1 : dernière fenêtre avant la 1.0

Symfony26 octobre2 min de lecture

Symfony AI 1.0.0-BETA1 est la première préversion avant la 1.0 : le périmètre est arrêté, et la promesse de compatibilité ascendante ne démarre qu'à la version finale. Le SDK PHP officiel de MCP (mcp/sdk) vise la 1.0 en parallèle. Un hackathon en ligne, du 26 octobre au 22 novembre 2026, sert à faire remonter ce qui casse avant la sortie.

Symfony AI 1.0.0-BETA1 · mcp/sdk, le SDK PHP officiel de MCP, vise aussi la 1.0
Compatibilité ascendante : à partir de la 1.0.0 finale, pas de la bêta
Hackathon du 26/10 au 22/11/2026, 18 h CET · 20 $ de crédits Hugging Face

Ce que vous ne signalez pas maintenant, la 1.0 le gardera.

Lire la fiche Source

09 DUCKDB Article

DuckDB 2.0 : appender Python, vues sécurisées

DuckDB26 octobre2 min de lecture

Cinq jours après DuckDB 2.0 LTS, l'équipe détaille des changements absents de l'annonce : un appender pour le client Python, CREATE SECURE VIEW qui n'expose pas les lignes filtrées via stats() ni EXPLAIN ANALYZE, et l'option PARTITION_PATH de COPY pour nommer les partitions. SHOW sur une table est déprécié au profit de DESCRIBE.

con.appender(table) en Python · INSERT INTO ... SELECT reste plus rapide pour DataFrame et Arrow
CREATE SECURE VIEW : stats() et EXPLAIN ANALYZE ne révèlent plus les lignes filtrées
SHOW <table> déprécié en 2.0 → DESCRIBE · SHOW threads lit un réglage

Une vue qui filtre ne cache pas forcément ce qu'elle filtre.

Lire la fiche Source

VeilleTech — feed du mardi 27 octobre