VeilleTech — 2026-10-29

01 SÉCURITÉ Faille

macOS : git et curl d'Apple acceptent eMudhra

we-have-a-problem.com28 octobre2 min de lecture

Au 28 octobre, git, curl et python3 livrés avec macOS font toujours confiance aux autorités eMudhra compromises, onze jours après qu'Apple a été prévenu. macOS 27.2, sorti le 26 octobre, ne corrige rien et annule le retrait manuel des racines. Les connexions HTTPS de ces outils restent interceptables : clone piégé, push altéré, jeton GitHub capturé.

Test : git ls-remote https://git-emudhra.we-have-a-problem.com/check.git · erreur de certificat = protégé
macOS 27.2 (26/10) ne corrige pas et annule le retrait manuel des racines
Touchés : git, curl, python3 d'Apple · Safari déjà protégé · runners macOS de CI à vérifier

Votre Mac est à jour. Votre git, lui, ne l'est pas.

Lire la fiche Source

02 SÉCURITÉ Faille

Brotli et PolyShell : échéance au 10 novembre

The Hacker News28 octobre3 min de lecture

La CISA a inscrit le 27 octobre à son catalogue KEV la faille Brotli CVE-2026-111497 (Node2Shell) et la faille PolyShell CVE-2026-48356 d'Adobe Commerce et Magento. ELLIO a capté un exploit public complet visant Node 24.22.0, et Sansec relie PolyShell à des centaines de boutiques compromises. Pour Node, la mise à jour est la seule parade.

CVE-2026-111497 (Brotli, 9,2) · Node corrigé en 22.23.4, 24.22.1, 26.12.1 · aucun contournement
CVE-2026-48356 PolyShell (Adobe Commerce et Magento, 9,3) · chargeur dans un bloc CMS
Trafic d'exploitation vu depuis 94.154.43.7 · échéance KEV fédérale : 10/11/2026

Un exploit public plus un scanner, ça fait une campagne.

Lire la fiche Source

03 SÉCURITÉ Faille

Tailscale 1.104.4 corrige le root via SSH

The Hacker News28 octobre4 min de lecture

Tailscale 1.104.4 corrige les défauts de transfert de sockets de Tailscale SSH signalés par le rapport Tailworm : une session autorisée pouvait atteindre des sockets réservés à root, dont celui de Docker. Le transfert s'exécute désormais avec les droits de l'utilisateur connecté. Headscale reste non corrigé, et une clé de machine volée survit à une réinstallation.

Tailscale 1.104.4 · bulletins TS-2026-014 à TS-2026-017 · aucune CVE attribuée
Sans mise à jour : TS_SSH_DISABLE_FORWARDING=1 dans l'environnement de tailscaled
headscale 0.29.5 (13/10) non corrigé · le mode check ne protège pas

Réinstaller une machine ne révoque pas sa clé.

Lire la fiche Source

04 GITLAB Discussion

GitLab auto-hébergé : patchez aussi Ruby

alpinelinux.org29 octobre3 min de lecture

Alpine Linux a reconstruit son instance GitLab après une tentative d'exploitation de CVE-2026-97229 (CVSS 10.0) les 20 et 21 octobre. La leçon est générale : le correctif n'est pas dans le code de GitLab mais dans le Ruby que ses paquets officiels embarquent. Passer en 19.3.6 avec un Ruby standard laissait l'instance vulnérable.

CVE-2026-97229 (CVSS 10.0) · bug dans Onigmo, le moteur de regex de Ruby
Ruby corrigé en 3.3.13, 3.4.12 et 4.0.9 — indispensable si vous n'utilisez pas les paquets GitLab
Image alpinelinux/gitlab:19.3.6 à retélécharger : celle du 27/10 contient Ruby 3.3.13

Le numéro de version de GitLab ne dit rien de son Ruby.

Lire la fiche Source

05 SYMFONY Article

Symfony 8.2 : génériques dans le Serializer

Symfony27 octobre3 min de lecture

Symfony 8.2 apprend au Serializer et à TypeInfo à résoudre les génériques déclarés en PHPDoc : une propriété typée Page<Product> dénormalise enfin ses éléments en Product. Deux changements de comportement accompagnent la nouveauté : un élément d'union non résolu lève une exception, et une propriété typée list recevant un objet JSON déclenche une dépréciation, qui deviendra une exception en Symfony 9.0.

Génériques résolus depuis la propriété porteuse, pas depuis la classe passée à denormalize()
Requiert PropertyInfo PhpStanExtractor et le paquet phpstan/phpdoc-parser
Rupture : élément d'union non résolu = exception ; list<string> recevant un objet JSON = dépréciation, exception en 9.0

Vos PHPDoc deviennent du code exécuté.

Lire la fiche Source

06 LARAVEL Article

Laravel 13.39 : purge des sessions planifiée

Laravel News28 octobre2 min de lecture

Laravel 13.39.0 ajoute la commande session:garbage-collect, qui permet de planifier la purge des sessions expirées au lieu de la confier à une requête tirée au sort. La même version rend atomique l'écriture des caches de configuration, de routes et d'événements : une requête concurrente pouvait lire un fichier vide, que OPcache gardait ensuite en mémoire.

Schedule::command('session:garbage-collect')->hourly() puis lottery à [0, 100]
config:cache, route:cache et event:cache écrivent un fichier temporaire puis le renomment
#[Table(key: false)] désactive la clé primaire · JobAttempted porte duration en ms

Un cache vide mis en mémoire par OPcache, ça ne se répare pas tout seul.

Lire la fiche Source

07 VERCEL Article

Vercel CI : seules les tâches touchées tournent

Vercel28 octobre2 min de lecture

Vercel CI entre en bêta sur tous les plans. Il lit turbo.json pour n'exécuter que les tâches affectées par un changement, sert le reste depuis le Remote Cache actif par défaut, et répartit chaque tâche sur sa propre machine. Vercel annonce un temps entre push et CI passée 2 à 6 fois plus court, mesuré sur ses propres dépôts.

Configuration : "tags": ["ci"] sur la tâche dans turbo.json, aucun workflow YAML
Turborepo obligatoire, y compris en dépôt à paquet unique · Remote Cache actif par défaut
Bêta : observabilité avancée, sélection fine des tests et vc ci local encore annoncés

Une CI qui relit tout à chaque ligne, c'est une CI qui attend.

Lire la fiche Source

08 OUTILS Article

Ghostty 1.4 : ghostty +ssh répare le terminfo

heise Developer28 octobre3 min de lecture

Ghostty 1.4.0 ajoute ghostty +ssh, une enveloppe du client SSH qui copie l'entrée terminfo xterm-ghostty sur la machine distante avant la connexion, avec repli sur xterm-256color. La version compresse aussi le scrollback (70 à 90 % de mémoire en moins), libère la mémoire GPU des onglets cachés sur macOS, et corrige dix failles de sécurité.

ghostty +ssh : terminfo copié avant connexion, variables transmises, repli xterm-256color
Scrollback compressé : limite par défaut portée de 10 à 50 Mo · 385 → 18 Mo de VRAM sur 20 onglets cachés macOS
Linux : GTK 4.18 et libadwaita 1.7 minimum · GUI Windows retirée de la feuille de route

Un terminal rapide qui casse en SSH reste un terminal cassé.

Lire la fiche Source

09 IA Article

Nemotron Bolt : les 24 Go annoncés, mesurés

DEV Community29 octobre4 min de lecture

InferenceKey a déployé Nemotron 3.5 Bolt 74B-A9B sur une seule A40 avec llama.cpp et publié ses mesures : 27 Go occupés lecteur d'images et drafter compris, contre les 23,83 Go annoncés hors lecteur d'images. Le drafter double le débit sur prompts courts mais pénalise les longs documents, et le modèle exige du code llama.cpp du 15 octobre.

Budget NVIDIA : 22,01 Go de paramètres + 0,87 (128k tokens) + 0,96 (drafter) = 23,83 Go, hors lecteur d'images (1,68 Go)
Mesuré sur A40 : ~27 Go · drafter observé à 2,4 Go · 136 tok/s avec drafter contre 70 sans
llama.cpp du 15/10 minimum (PR #30520) · compilation : 705 s sur 9 cœurs, 92 % de l'attente

Un budget mémoire annoncé n'est pas une mesure.

Lire la fiche Source

10 IA Discussion

Agents de code : 16 % des jetons en résumés

Flamerix AI29 octobre4 min de lecture

Une mesure OpenTelemetry publiée par Flamerix AI attribue 16,4 % de la dépense estimée de Claude Code et 19,7 % de ses requêtes aux résumés d'état des agents d'arrière-plan, qui renvoient toute la transcription d'un agent au modèle toutes les 30 secondes pour produire trois à cinq mots. Ces requêtes n'apparaissent pas dans les journaux de session sur disque.

16,4 % de la dépense estimée et 19,7 % des requêtes · conversation principale : 15,7 %
Invisible pour les outils de coût qui lisent les transcriptions (ticket #104358) ; seul l'export OpenTelemetry le montre
Aucun réglage ne le désactive ; le ticket #86879 réunit quatre mesures de 18 à 26 %

Ce qui n'apparaît pas dans vos journaux se paie quand même.

Lire la fiche Source

VeilleTech — feed du jeudi 29 octobre