VeilleTech — 2026-11-04

01 SÉCURITÉ Faille

Noyau Linux : faille TCP à distance, CVE-2026-98432

The Hacker News3 novembre3 min de lecture

Une faille use-after-free du noyau Linux, CVE-2026-98432, se déclenche à distance et sans authentification sur tout port TCP IPv4 en écoute ; le noyau la note 9.8. Red Hat a publié des noyaux corrigés pour RHEL 8, 9 et 10, tandis que les correctifs d'Ubuntu 22.04, 24.04 et 26.04 restent dans le canal -proposed, sans date. Aucune attaque n'est signalée, mais Anthropic dit avoir obtenu un exploit root en interne.

CVE-2026-98432 : CVSS 9.8, présente depuis Linux 4.4
Corrigé : RHEL 8.10, 9.8 et 10.2 ; Ubuntu LTS seulement en -proposed
Parade partielle : règle nftables ip hdrlength > 5, pas MPTCP seul

Sur un serveur exposé, le noyau se met à jour avant tout le reste.

Lire la fiche Source

02 SÉCURITÉ Faille

cPGuard : mise à jour piégée, 5.88.12 à 5.88.19

The Hacker News3 novembre3 min de lecture

Le 2 novembre à 02:06 UTC, un attaquant a utilisé des identifiants volés pour pousser, par le canal de mise à jour de cPGuard, un script qui installe une porte dérobée et copie des hachages de mots de passe. Les versions 5.88.12 à 5.88.19 sont concernées ; la 5.88.25 retire la porte dérobée mais ne rend pas inutilisables les identifiants déjà copiés. Un serveur qui a installé l'une de ces versions doit être traité comme compromis.

Versions piégées : 5.88.12 à 5.88.19 ; corrigé en 5.88.25
Test : grep 'Successfully updated' /opt/cpguard/logs/install_log
À renouveler : mots de passe, accès base de données, S3, DigitalOcean, clés SSH de /root/.ssh

Un outil de sécurité qui se met à jour seul est aussi une porte d'entrée.

Lire la fiche Source

03 PHP Article

Composer 2.11 : cooldown, six failles corrigées

Laravel News3 novembre3 min de lecture

Composer 2.11.0 ajoute un délai de carence (cooldown) : il ignore les versions publiées depuis moins d'une durée que vous fixez, ce qui laisse le temps de retirer une version piégée. La release corrige aussi six failles, supprime le repli vers un clone du dépôt source et accélère la résolution. Le délai ne joue que sur update et require, jamais sur install.

config.policy.cooldown.period : 1 day, 6 hours, 7 days…
composer update --no-cooldown vendor/paquet ; COMPOSER_POLICY_COOLDOWN_PERIOD en CI
GHSA-c968-33g3-wh7p et GHSA-fm2w-xgf2-f9fh corrigés

Un jour d'attente coûte peu, une dépendance piégée coûte cher.

Lire la fiche Source

04 OUTILS Discussion

Postman ajoute seul des plugins à Claude Code et Codex

GitHub3 novembre3 min de lecture

Un utilisateur documente, journaux à l'appui, que Postman 12.33.4 a installé automatiquement le 24 octobre un plugin dans Codex et dans Claude Code, avec un hook de démarrage, une connexion MCP distante et une ligne de commande Postman. L'installateur tente aussi d'approuver lui-même ce hook. Le rapport, non reproduit sur un Mac vierge, ne prétend pas prouver de fuite de données.

Postman 12.33.4 ; plugin Codex 1.1.0, plugin Claude 2.0.1
Journal : source auto-existing-upgrade, claude-code:installed, codex:installed
À vérifier : ~/.codex/config.toml (marketplaces.postman) et ~/.claude/settings.json (postman@claude-plugins-official)

Un outil qui touche à vos agents doit demander d'abord.

Lire la fiche Source

05 SÉCURITÉ Faille

LLMjacking : plus de 100 000 $ de factures en un jour

The Hacker News3 novembre4 min de lecture

Google Threat Intelligence et Mandiant décrivent le LLMjacking, qui détourne l'accès d'une organisation à des modèles de langage : plus de 100 000 $ de frais frauduleux en un jour, jusqu'à 1 million de dollars avant révocation. L'entrée est le plus souvent un jeton cloud volé ou exposé, ou une clé d'API trouvée dans un dépôt GitHub public. Symantec décrit en parallèle un relais qui installe les vrais Codex et Claude Code puis réécrit leur configuration.

Plus de 100 000 $ en un jour, jusqu'à 1 M$ cumulés avant révocation
Entrées : clés IAM, comptes de service, PAT GitHub, jetons de session, clés dans des dépôts publics
Relais : ~/.codex/config.toml (danger-full-access) et ~/.claude/settings.json réécrits

La facture arrive après le vol : posez le plafond avant.

Lire la fiche Source

06 SYMFONY Article

Symfony 8.2 : collections de formulaires polymorphes

Symfony3 novembre2 min de lecture

Symfony 8.2 ajoute PolymorphicCollectionType, qui permet à une collection de formulaires de mélanger plusieurs types d'entrées, et l'option entry_name, qui identifie chaque ligne par ses données plutôt que par sa position. Cela règle le cas où l'ordre change entre l'affichage et l'envoi. Attention : avec allow_add, un nouveau nom identique à celui d'une entrée existante met cette entrée à jour.

PolymorphicCollectionType + option entry_type_provider (PR #63487)
Un prototype par type : data-prototype-heading, data-prototype-paragraph
entry_name : post[tags][42][name] au lieu de post[tags][0][name] ; nouveaux noms du type new_1

Une ligne se reconnaît à son identité, pas à sa place.

Lire la fiche Source

07 LARAVEL Article

Inertia 3.11 : des props qui se rechargent en direct

Laravel News3 novembre2 min de lecture

Inertia.js 3.11.0 et inertia-laravel 3.7.0 ajoutent les live props : une prop marquée Inertia::live() se recharge quand un événement de diffusion arrive, sans polling. Les transports Echo/Reverb, Pusher et Action Cable sont fournis, avec un plafond d'un rechargement par prop et par seconde. Inertia::broadcastProps() évite même la requête de rechargement en transportant la valeur dans l'événement.

Inertia.js 3.11.0 + inertia-laravel 3.7.0
Inertia::live(fn, on: new OrderUpdated($order)) et createInertiaApp({ live: echo() })
1 rechargement par prop et par seconde ; broadcastProps : même valeur pour tous les abonnés

Le temps réel sans écrire une ligne de polling.

Lire la fiche Source

08 WEB Discussion

Safari 27.3 : mode sombre adaptatif, color-scheme

WebKit3 novembre3 min de lecture

Safari 27.3 bêta propose, quand l'utilisateur l'active, un mode sombre adaptatif qui transforme les sites clairs : près de 40 % des chargements viennent de visiteurs en mode sombre, mais seulement 10 % des pages le gèrent. Un site qui déclare color-scheme: light dark n'est pas touché. L'option light only, pour refuser la transformation, n'est pas encore prise en charge dans la bêta 1.

Déclarer <meta name="color-scheme" content="light dark"> ou color-scheme: light dark
Contraste visé : WCAG 4,5:1 ; canvas et la plupart des bitmaps inchangés
light only : non pris en charge en bêta 1 ; transformation invisible pour JavaScript

Si votre site est clair, Safari peut le foncer à votre place.

Lire la fiche Source

09 LINUX Discussion

Ubuntu 26.04 : sudo-rs refuse les jokers d'arguments

utcc.utoronto.ca2 novembre2 min de lecture

Sur Ubuntu 26.04, sudo est sudo-rs, et sa page de manuel indique qu'il interdit les jokers dans les arguments de commande, sauf une étoile finale. Un administrateur a vu une règle sudoers.d pour exim -bp[acru] cesser d'autoriser les variantes -bpa, -bpc, -bpr et -bpu, la règle étant lue comme un argument littéral. Il est revenu au sudo classique avec update-alternatives.

Ubuntu 26.04 : sudo-rs, jokers d'arguments interdits sauf * final
exim -bp[acru] devient l'argument littéral -bp[acru]
Retour : update-alternatives --set sudo /usr/bin/sudo.ws

Une mise à niveau peut changer le sens de vos règles sans rien dire.

Lire la fiche Source

10 IA Discussion

Astra : le gain sur Qwen passe par du code Python

honnibal.dev3 novembre4 min de lecture

Matthew Honnibal, auteur de spaCy, démonte le résumé du billet « Weight-Space Programming » : le cadre où le modèle ne regarde que les poids bruts n'apparaît que sur des réseaux de 17 000 à 172 000 poids, et le gain sur Qwen3.5-0.8B passe par du code Python et jusqu'à 50 lots de problèmes. Simon Willison a refait la partie sans outil avec Qwen 3.8 27B en local, de 46 min à 1 h 5 par essai. Suite de la fiche du 3 novembre.

Lecture directe des poids : expériences 1, 2 et 4, réseaux de 17K à 172K poids
Qwen3.5-0.8B (MATH-500 7,9 → 48,1 %) : Python et jusqu'à 50 lots d'essai
Qwen 3.8 27B Q4_K_M (17 Go) : 46 min 12 s pour Pac-Man, contexte de 8192 insuffisant

Citez le résultat avec son outillage, pas sans.

Lire la fiche Source

VeilleTech — feed du mercredi 4 novembre