VeilleTech — 2026-10-30

01 SÉCURITÉ Faille

Linux CVE-2026-98432 : Ubuntu et RHEL sans correctif

The Hacker News29 octobre3 min de lecture

CVE-2026-98432, une situation de compétition dans la poignée de main TCP en IPv4, est notée 9,8 par l'équipe CVE du noyau. Anthropic dit en avoir tiré un root à distance sur un serveur avec écouteur multipath TCP, sans publier son code. Au 29 octobre, Ubuntu et RHEL n'ont aucun noyau corrigé à installer, alors que Debian, Oracle Linux et une partie de SUSE et d'Amazon Linux en ont.

Corrigé en amont : 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3
Sans paquet au 29/10 : Ubuntu 16.04 à 26.10, RHEL 8, 9, 10, OpenShift 4
Binaires Go ≥ 1.24 : GODEBUG=multipathtcp=0, mesure jugée fragile par l'équipe Go

Un correctif en amont n'est pas un correctif sur votre serveur.

Lire la fiche Source

02 SÉCURITÉ Faille

Ver testmetest : 42 dépôts armés pour vos agents

JFrog Security Research29 octobre3 min de lecture

JFrog a trouvé 42 dépôts GitHub légitimes piégés, chez 11 propriétaires, avec des hooks qui s'exécutent quand on ouvre le projet dans Claude Code, Gemini, Cursor ou VS Code. Le fichier lancé, .github/init.js, pèse près de 13 Mo et échappe à la recherche de code de GitHub. Le ver npm associé efface le dossier personnel si l'on révoque le jeton volé avant de retirer ses services.

Chercher : .github/init.js, .claude/settings.json, .cursor/mcp.json, .vscode/tasks.json, skip-checks:true
Avant de révoquer le jeton : retirer net-health-checker et pkg-runtime, sinon rm -rf ~/
@testsecuiitytestme/cache-helper démarre à l'import : --ignore-scripts ne protège pas

Ouvrir un dépôt, c'est déjà lui faire confiance.

Lire la fiche Source

03 SYMFONY Article

Symfony : le correctif de mai n'était jamais sorti

Symfony29 octobre1 min de lecture

Symfony reconnaît que le correctif de CVE-2026-45070, annoncé en mai, n'a jamais été livré : le commit n'avait été fusionné dans aucune branche de maintenance. Il arrive seulement dans 5.4.55, 6.4.49, 7.4.22 et 8.1.10. La branche 8.0, plus maintenue, doit passer en 8.1.10.

CVE-2026-45070 · GHSA-vqc8-7275-q272 : injection d'en-têtes par les noms de paramètres Mime
Corrigé en 5.4.55, 6.4.49, 7.4.22, 8.1.10 · et non en 5.4.52, 6.4.40, 7.4.12, 8.0.12
CVE-2026-109413, 108082, 109449 : déjà corrigées, aucune action nouvelle

Votre audit disait vert. Le correctif n'existait pas.

Lire la fiche Source

04 SÉCURITÉ Faille

Scanners de secrets : 1 001 clés vues par les deux

The Hacker News29 octobre3 min de lecture

Un scan de 7,25 millions de dépôts publics Gitee a trouvé 26 400 identifiants valides. TruffleHog en voit 12 737, Kingfisher 14 664, et seulement 1 001 sont repérés par les deux. L'étude vient de l'équipe de Kingfisher, mais la leçon est vérifiable chez soi : un scanner ne voit que ce que ses détecteurs couvrent.

26 400 clés valides : TruffleHog 12 737, Kingfisher 14 664, communes 1 001
9 473 Alibaba Cloud · 3 805 YouTube · 3 170 DeepSeek · 1 489 BigModel · 1 348 OpenAI
Effacer une clé ou réécrire l'historique ne la révoque pas

Votre scanner ne cherche que ce qu'il sait reconnaître.

Lire la fiche Source

06 SYMFONY Article

Symfony 8.2 : Messenger lisible hors de PHP

Symfony29 octobre2 min de lecture

Symfony 8.2 ajoute messenger.transport.interop_serializer : les messages partent sans stamps PHP, avec un corps JSON et des en-têtes lisibles depuis n'importe quel langage. Des stamp header mappers conservent l'identité du message en en-têtes ordinaires. Sur un transport signé, l'ordre de mise à jour compte.

Service : messenger.transport.interop_serializer, sans stamps ni classes PHP
En-têtes : message_id, correlation_id, causation_id · option identity_stamps
Transport signé : 7.4.18+ et 8.1.6+ refusent les autres en-têtes, consommateurs d'abord

Un message partagé n'a pas à savoir ce qu'est une classe PHP.

Lire la fiche Source

07 LLM Discussion

Mistral Large 4 : 15 tok/s sur un M3 Ultra 512 Go

Mistral29 octobre3 min de lecture

Mistral publie les poids de Large 4 : 1 000 milliards de paramètres, 49 milliards actifs par token, licence MIT modifiée qui réserve le cas du modèle vendu en service. vLLM, Transformers et llama.cpp le prennent en charge dès le premier jour. Hugging Face mesure 15 tok/s en Q2_K sur un M3 Ultra de 512 Go, et environ 65 tok/s sur huit H200.

mistralai/Mistral-Large-4-1T-A52B (FP8) · variante -NVFP4 · GGUF ggml-org et Unsloth
Q2_K sur M3 Ultra 512 Go : 15 tok/s · 8 H200 en FP8 : ~65 tok/s, 120-138 avec DSpark
API : 0,70 $ entrée, 0,07 $ en cache, 2,10 $ sortie par million de tokens

Ouvert ne veut pas dire à portée de votre portable.

Lire la fiche Source

08 IA Article

Meta : tester chaque diff comme s'il était un bug

Meta Engineering29 octobre2 min de lecture

Meta fait tourner en production des tests générés par LLM pour chaque diff risqué, conçus pour échouer et révéler un changement de comportement. Au premier semestre 2026, l'entreprise leur attribue 74 bugs graves de confidentialité interceptés et 20 % d'incidents de ce type en moins. Le principe, un test qui échoue sur le diff et passe sur le parent, se reproduit sans son infrastructure.

74 bugs SEV de confidentialité interceptés au 1er semestre 2026 · -20 % d'incidents
589 ingénieurs engagés (64 % des sollicités) · 60 % de vrais positifs déclarés
Tri : LLM-as-Judge et RubFake, moteur à règles déterministe

Un test qui échoue vaut mieux qu'un avis qui rassure.

Lire la fiche Source

VeilleTech — feed du vendredi 30 octobre