VeilleTech — 2026-11-02

01 SÉCURITÉ Faille

LXD et MicroCloud : CVSS 10, sans clé privée

The Hacker News1 novembre2 min de lecture

Une faille notée 10.0 dans LXD et MicroCloud laisse un attaquant se connecter comme un client de confiance, avec son seul certificat public. Le serveur vérifiait toute la chaîne présentée, alors que TLS ne prouve la possession de la clé que pour le premier certificat. Des versions corrigées existent en snap, mais il faut contrôler celle qu'on obtient.

CVE-2026-112816, CVSS 10.0 ; Incus : GHSA-xg75-xf37-cph9, corrigé en 7.6.0
LXD 6.10.1, 5.21.9, 5.0.11, 4.0.15 ; MicroCloud 3.4.1, 2.1.5
LXD exposé si core.https_address est activé ; aucune exploitation connue au 30/10

Un certificat public n'a jamais rien prouvé. Le serveur l'avait oublié.

Lire la fiche Source

02 SÉCURITÉ Faille

VOLTA : un LLM chiffre la valeur de chaque victime

The Hacker News2 novembre3 min de lecture

Cisco Talos décrit VOLTA-AUTODOXER, un infostealer Windows qui envoie les données volées à un LLM via OpenRouter pour classer les biens de sa victime par valeur marchande. L'IA n'apporte aucune capacité de vol, mais elle remplace le travail d'analyse de l'opérateur. Vos clés d'API et vos sessions restent la première cible.

Modèles via OpenRouter : Claude Opus 4.6, puis Kimi K2, puis Gemini 2.5 Flash
Refus détecté sur « I can't » ou « I'm not able » ; envoi en 3 étapes sur Telegram
NIK C2 cherche OPENAI_API_KEY dans l'environnement de la victime et l'utilise

Le malware ne vole pas mieux. Il sait maintenant quoi regarder en premier.

Lire la fiche Source

03 POSTGRES Discussion

Postgres 19 retardé : les LLM trouvent trop de bugs

rhaas.blogspot.com31 octobre2 min de lecture

Robert Haas, développeur de PostgreSQL, explique pourquoi la version 19 sortira tard : les bugs trouvés grâce aux LLM ont fait bondir les rétroportages et absorbé le temps de relecture. Trois grosses fonctionnalités ont été retirées en fin de bêta. Plans de migration et feuilles de route sont à revoir.

Commits 2026 contre 2025 : 1169/724 sur la branche en cours, 433/248 sur la précédente
Retirés : FOR PORTION OF, SQL/PGQ, ALTER TABLE … MERGE/SPLIT PARTITION
Sortie très probable en novembre ; report supplémentaire non exclu

Quarante ans de bugs viennent d'être rendus visibles. Ils ne se corrigeront pas seuls.

Lire la fiche Source

04 FRONT Discussion

Frameworks JS : 2,67 $ à 4,97 $ l'app par agent

nolanlawson.com28 octobre3 min de lecture

Nolan Lawson a fait construire cinq fois la même application à un agent sur douze piles techniques. Le coût médian va de 2,67 $ pour Hono+htmx à 4,97 $ pour Angular, et le code de 1 370 à 2 009 lignes. L'échantillon reste petit, mais le banc d'essai est public et réutilisable.

Hono+htmx 2,67 $, Astro 2,76 $, Next.js 3,14 $, SvelteKit 4,28 $, Angular 4,97 $
JS envoyé : Astro 0 Kio, SvelteKit 36 Kio, Nuxt 84 Kio, Next.js 142 Kio
5 essais, une seule app : à refaire sur github.com/nolanlawson/agent-framework-benchmark

« Meilleur pour les agents » a enfin un prix. Reste à mesurer le vôtre.

Lire la fiche Source

05 OUTILS Discussion

OmniDiff : un diff qui lit aussi PDF, polices, images

GitHub1 novembre2 min de lecture

OmniDiff compare le code par structure et les fichiers binaires selon ce qu'ils contiennent : pixels, glyphes, pages, membres d'archive. Il se branche sur Git et Jujutsu et reste rapide sur 2 302 cas de test. Son auteur publie aussi ce qui manque : la précision visée n'est pas encore atteinte.

brew install ivankovic/omnidiff/omnidiff, puis omnidiff git configure
p50 4,2 ms, p99 177 ms sur 2 302 cas, chiffres de l'auteur (i7-1370P)
Exact sur 60 % (--full) à 69,6 % (--minimal) des cas ; 90 % visés ; AGPLv3

Git ne dira plus seulement que le fichier binaire a changé.

Lire la fiche Source

VeilleTech — feed du lundi 2 novembre