VeilleTech — 2026-11-01

01 SÉCURITÉ Faille

Extension Claude Code : backdoor SSH via Cursor

The Hacker News30 octobre2 min de lecture

Une version piégée de l'extension Claude Code a été servie par la marketplace de Cursor le 29 octobre, sous l'identifiant officiel anthropic.claude-code, à 5 000 utilisateurs au plus. Elle ajoute une clé SSH, tente un tunnel inverse et s'installe durablement. Mettre à jour l'extension ne retire aucune de ces traces.

anthropic.claude-code 2.1.312 et 2.1.313 via Cursor, le 29/10 de 2:27 à 13:35 PT
Traces : clé svc-telemetry dans ~/.ssh/authorized_keys, 134.209.82.225:8099/beacon
Mettre à jour ne suffit pas : retirer clé et persistance, renouveler les secrets

Une extension officielle n'est sûre que si sa marketplace l'est aussi.

Lire la fiche Source

02 WORDPRESS Discussion

WordPress 7.1.4 : RCE visée, 62 969 attaques bloquées

The Hacker News30 octobre2 min de lecture

Une exécution de code sans authentification touche WordPress de la 4.7 à la 7.1.3 : pendant une mise à jour complète, l'installateur est copié dans un dossier prévisible de wp-content/upgrade. La fenêtre ne dure que quelques secondes, mais Wordfence a bloqué 62 969 attaques en 24 heures. Le correctif est la 7.1.4.

GHSA-4w3m-c66w-69mg · WordPress 4.7 à 7.1.3 · CVSS 8,1 · corrigé en 7.1.4
Installateur exposé dans wp-content/upgrade pendant une mise à jour complète
62 969 attaques bloquées en 24 h : contrôlez journaux, comptes et fichiers PHP

La mise à jour qui vous protège était aussi la fenêtre de tir.

Lire la fiche Source

03 SÉCURITÉ Faille

JetBrains : vos IDE font encore confiance à eMudhra

PhpStorm30 octobre3 min de lecture

Mettre à jour macOS ou Linux ne protège pas les outils JetBrains contre les huit certificats eMudhra compromis : les IDE, la Toolbox, Gateway et ReSharper ont leur propre liste de confiance. JetBrains publie des versions corrigées, un correctif séparé pour le service jetbrainsd et une procédure manuelle. Les versions 2025.1 et antérieures n'auront rien.

PhpStorm, WebStorm : 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3
jetbrainsd 0.9.9728 · Toolbox 3.9.1 ou 3.8.2 · CVE-2026-118697
Aucun correctif : IDE 2025.1 et antérieurs, Toolbox 3.7 et antérieures

Votre système est à jour. Votre IDE, lui, vit avec sa propre liste.

Lire la fiche Source

04 SÉCURITÉ Faille

Polymarket : un script tiers détourne 2,7 M$

The Hacker News1 novembre2 min de lecture

Le 29 octobre, le script de mesure DebugBear chargé par Polymarket a été remplacé après un détournement DNS passé par le registrar de l'éditeur. Sans voler de clé, le code a réutilisé la session ouverte pour faire signer des transferts : 726 portefeuilles touchés, environ 2,7 millions de dollars remboursés. La leçon vaut pour tout site qui charge un script tiers sur une page connectée.

726 portefeuilles, environ 2,7 M$ remboursés, fonds transférés en moins d'une heure
cdn.debugbear[.]com détourné via le registrar, selon DebugBear
Parade : SRI, et aucun script tiers là où l'utilisateur signe ou paie

Votre CSP autorise un domaine. Elle ne lit pas ce qu'il sert.

Lire la fiche Source

05 SÉCURITÉ Faille

ChatGPT : un lien partagé lisait vos conversations

Parameter28 octobre2 min de lecture

Parameter a montré qu'un lien de partage ChatGPT pouvait exécuter du code dans la session de sa victime et lire ses conversations privées, en combinant un aperçu HTML, la bibliothèque MathLive et une réponse JSONP de YouTube. OpenAI a corrigé le 26 octobre. La chaîne reste un cas d'école pour tout produit qui affiche du contenu généré dans une iframe.

Signalé le 18/10, corrigé le 26/10, classé P1, prime de 5 000 $
postMessage sans contrôle → innerHTML → iframe srcdoc sans sandbox
CSP contournée par www.youtube.com/oembed?callback=

Un cadre isolé n'est isolé que si personne ne lui ouvre la porte.

Lire la fiche Source

06 VERCEL Article

Vercel : le Data Cache passe à la facturation

Vercel30 octobre1 min de lecture

Vercel fusionne Data Cache dans Runtime Cache : aucune ligne de code à changer, mais des lectures et des écritures jusqu'ici gratuites deviennent facturées. Les comptes Hobby migrent le 29 novembre, les comptes Pro seront prévenus de leur date. Rien ne cassera, ce qui rend le changement facile à manquer.

Dès 0,40 $/M unités de lecture et 4 $/M unités d'écriture, selon la région
Hobby : bascule le 29/11, 1 M lectures et 200 000 écritures offertes par mois
Pro : crédit de 20 $, espace ×8 · Enterprise : espace ×10

Rien ne casse à la migration. Seule la facture le remarque.

Lire la fiche Source

07 DEVOPS Article

OTTL 1.0 : des options retirées bloquent le Collector

heise Developer30 octobre2 min de lecture

Le langage de transformation d'OpenTelemetry passe en 1.0 avec collector-contrib v0.164.0 : sa grammaire est figée pour toute la série 1.x, et les nouveautés passent d'abord par un module expérimental. En contrepartie, le passage à cette version retire des fonctions et des feature gates qui font échouer le démarrage s'ils sont encore déclarés.

OTTL 1.0 avec opentelemetry-collector-contrib v0.164.0, grammaire figée sur 1.x
À retirer : ottl.PanicDuplicateName, ottl.contexts.enableOTelColContext, ottl.set.allowNil
Hors garantie : lambdas (ottl.functions.enableLambda), xottl, xprofile

Une dernière rupture, pour ne plus en subir à chaque mise à jour.

Lire la fiche Source

08 SYMFONY Article

Symfony 8.2 : le contrôleur rattrape ses attributs

Symfony30 octobre1 min de lecture

Symfony 8.2 permet à un contrôleur de reprendre la main quand un attribut échoue : il suffit d'un argument nullable typé avec l'exception concernée. Cela évite de retirer #[IsSignatureValid] ou #[RateLimit] pour afficher un message utile. Mais le contrôleur s'exécute alors malgré l'échec, et doit tester l'argument lui-même.

?ExpiredSignedUriException : traite seulement les liens expirés
IsCsrfTokenValid, IsSignatureValid, Lock, RateLimit · IsGranted exclu
Le contrôleur tourne malgré l'échec : testez l'argument en premier

Une exception reçue en argument est aussi une exception qu'on peut oublier.

Lire la fiche Source

09 MESURE Discussion

Jepsen : 96 défauts dans ParticleDB, à quitter

jepsen.io31 octobre3 min de lecture

Jepsen a trouvé 96 problèmes dans ParticleDB, base multimodèle présentée comme Full ACID, la plupart sans panne et avec un seul client. Dix restaient ouverts à la fin des tests, dont des écritures validées perdues dans le mode par défaut. Jepsen recommande de migrer, pendant que l'éditeur affirme avoir tout corrigé dans une version non testée.

96 problèmes, 10 encore ouverts en 1.1.18.11.rc-22
Écritures validées perdues : 31 clés sur environ 20 000 dans un test
Conseil de Jepsen : stopper les déploiements et migrer · 1.1.19-rc.13 non testée

« Compatible Postgres » est une promesse. Un test de comparaison est une preuve.

Lire la fiche Source

10 IA Discussion

Memdoor : cinq petits modèles, 10 problèmes, 35,79 $

GitHub31 octobre2 min de lecture

Un workflow Memdoor de huit fichiers YAML fait collaborer cinq rôles sur Qwen3.8-27B, sans autre mémoire que des fichiers, et résout 9,8 problèmes sur 10 en moyenne sur un petit extrait de LiveCodeBench Hard. Le dépôt ne revendique qu'une parité avec le harnais d'origine, sur un petit échantillon et via OpenRouter. La méthode est publiée et reproductible, y compris en local.

Qwen3.8-27B : 9,8/10, contre 9,6 (harnais d'origine) et 8,0 (Fable 5, un appel)
50 exécutions pour 35,79 $, médiane de 40 min et 0,39 $
Parité seulement : 10 problèmes, OpenRouter, contamination possible

La bonne idée n'est peut-être pas le modèle, mais le juge qui n'en est pas un.

Lire la fiche Source

VeilleTech — feed du dimanche 1 novembre