VeilleTech — 2026-11-05

01 SÉCURITÉ Faille

APT : un paquet vérifié remplacé, code exécuté en root

The Hacker News4 novembre2 min de lecture

Une faille d'APT, CVE-2026-109518, permet à un attaquant qui contrôle le téléchargement (miroir malveillant, proxy) de remplacer un paquet après sa vérification et d'exécuter son code en root. Debian et Ubuntu ont publié des versions corrigées le 4 novembre ; les nouvelles tentatives de téléchargement, nécessaires à l'attaque, sont actives par défaut depuis Debian 12 et Ubuntu 22.04.

CVE-2026-109518 : code exécuté en root, CVSS 4.0 de 7,7 selon Ubuntu
Corrigé : Debian 13 en APT 3.0.4, Ubuntu 22.04 en 2.4.15ubuntu0.1, 24.04 en 2.8.4ubuntu0.1
À vérifier aussi : Acquire::Retries, images Docker et runners de CI

Avant votre prochain apt install, mettez APT lui-même à jour.

Lire la fiche Source

02 SÉCURITÉ Faille

Rails : un SVG écrit des fichiers via ImageMagick

The Hacker News4 novembre4 min de lecture

Rails corrige une faille critique d'Active Storage (GHSA-f3w6-w445-fwh9, CVSS 9.8) : un fichier forgé, envoyé sans compte, peut faire écrire des fichiers arbitraires sur le serveur quand l'application traite les images avec ImageMagick, et lire tout fichier si le stockage est le disque local. Les versions 8.1.4.1 et 8.0.5.2 livrent une politique ImageMagick qui bloque les décodeurs en cause.

GHSA-f3w6-w445-fwh9 : CVSS 9.8, pas encore de CVE ; corrigé en 8.1.4.1 et 8.0.5.2
Concerné : mini_magick, politique ImageMagick permissive (Debian, Ubuntu) et envois d'inconnus
Service Disk : changer secret_key_base et tous les secrets ; Rails 8.0 sans correctif après le 7 novembre

Votre ImageMagick fait confiance au contenu du fichier : donnez-lui une politique.

Lire la fiche Source

03 SYMFONY Article

Symfony : huit avis, correctifs en 7.4.23 et 8.1.11

Symfony4 novembre4 min de lecture

Symfony publie huit avis de sécurité corrigés dans 5.4.56, 6.4.50, 7.4.23 et 8.1.11. Les plus lourds : un champ UploadedFile désérialisé depuis la requête peut désigner n'importe quel fichier du serveur (CVE-2026-118515), HttpFoundation peut générer des URL vers un hôte choisi par le client, et une règle nginx, Apache ou CDN sur /admin se contourne avec /index.phpadmin.

Corrigé dans 5.4.56, 6.4.50, 7.4.23 et 8.1.11 (huit avis du 4 novembre)
CVE-2026-118515 : un DTO avec UploadedFile et #[MapRequestPayload] désigne n'importe quel fichier
GHSA-3h27-hjv7-fqjx : /index.phpadmin contourne une règle placée devant PHP

Vos règles d'accès nginx doivent survivre à /index.phpadmin.

Lire la fiche Source

04 PAYLOAD Release

Payload 3.93.0 : mises à jour de sécurité vitales

Payload CMS4 novembre1 min de lecture

Payload 3.93.0 est annoncée comme contenant des mises à jour de sécurité vitales, à installer dès que possible. Les notes listent huit correctifs de contrôle d'accès, de validation et d'échappement, sans CVE ni gravité, et ajoutent l'option auth.passwordHashIterations pour les environnements qui limitent PBKDF2.

Payload 3.93.0 (4 novembre) : « vital security updates », sans CVE ni gravité publiés
Droits : lecture des enfants de bloc appliquée aux requêtes, types de blocs limités par champ
Nouveau : auth.passwordHashIterations pour les environnements qui limitent PBKDF2

Quand Payload écrit « vital », on met à jour d'abord.

Lire la fiche Source

05 LARAVEL Article

Laravel 13.40 : un RCE corrigé dans Concurrency

Laravel News4 novembre2 min de lecture

Laravel 13.40 corrige une exécution de code dans Concurrency::run() avec le driver process : le résultat d'une tâche, lu sur la sortie du processus enfant puis désérialisé, est désormais signé par une clé aléatoire. La version ajoute aussi des alertes de jobs et de tâches trop longs, des identifiants de commit pour les répliques de lecture et des correctifs de transactions.

Concurrency::run() (driver process) : résultat signé par une clé aléatoire (PR #62297)
Queue::whenJobRunsLongerThan() en millisecondes, Schedule::whenTaskRunsLongerThan() en secondes
DB::getLastCommitId() et DB::hasCommitId() : MySQL (GTID), MariaDB (binlog), PostgreSQL

Un nombre nu n'a pas la même unité dans les deux méthodes.

Lire la fiche Source

06 LARAVEL Article

Laravel : patcher PHP en 27 h, ce qui a cassé

Laravel4 novembre4 min de lecture

Laravel publie le bilan de sa réponse aux correctifs PHP et Node.js du 21 octobre : Cloud a été corrigé sans redéploiement en moins de cinq heures après la publication, mais Forge a saturé sous dix fois le volume normal de tâches de mise à jour, et Envoyer est resté hors ligne neuf heures. Le billet détaille ce qui a tenu et ce qui change.

Cloud : binaires PHP corrigés déposés par un opérateur Kubernetes, 100 % des régions à 18:05 UTC
Forge : 10 fois les tâches habituelles, 48 000 en file, environ 4 800 déploiements annulés
Prochaine échéance : Node.js le 11 novembre, gravité maximale HIGH sur 22.x, 24.x et 26.x

Le jour du préavis, il est trop tard pour dresser l'inventaire.

Lire la fiche Source

07 SÉCURITÉ Faille

Prompt adware : un jailbreak Codex injecte des pubs

The Hacker News4 novembre2 min de lecture

Check Point Research décrit le « prompt adware » : le jailbreak Haiou modifie la configuration de Codex pour qu'un simple bonjour déclenche une publicité pour une passerelle LLM payante. Aucun exécutable n'est en jeu : le comportement passe par des instructions en langage naturel, ce qui fait des prompts et des skills tiers une partie de la chaîne de confiance de l'agent.

Haiou (haiou-codex, GitHub, 10 juillet 2026) : 403 étoiles, 77 forks, aussi dans Codex-X
Déclencheurs : Seagull, hi, hello, hey, yo, are you there ? ; pub vers zz.aiapi2025[.]top
À faire : relire le fichier d'instructions global de l'agent et les skills tiers

Un fichier d'instructions est du code : relisez-le comme tel.

Lire la fiche Source

08 IA Article

Kinference : un routeur vLLM qui voit le cache KV

vLLM4 novembre3 min de lecture

Buoyant publie Kinference, un plan de contrôle open source (Apache 2.0) placé devant vLLM sur Kubernetes. Il répartit les requêtes selon la file des GPU et le contenu du cache KV, applique des politiques YAML de routage et de débordement vers le cloud, et mesure l'usage par locataire. L'éditeur annonce 95 % de délai en moins avant le premier jeton sur un type de charge ; ces chiffres sont les siens.

Apache 2.0 ; charts Helm en préversion (--devel), CRD en v1alpha1
Éditeur : TTFT médian −95 % et latence totale −45 % sur une charge ; débit utile ×7,4 (préfixe partagé), ×3,5 (multi-tours)
Politiques YAML : modèle moins cher, débordement vers le cloud, PII qui ne quitte pas le cluster

Un équilibreur qui ne voit pas le cache KV gaspille vos GPU.

Lire la fiche Source

09 VERCEL Article

Workflow SDK : un start() idempotent, sans course

Vercel4 novembre2 min de lecture

Le start() du Workflow SDK de Vercel peut désormais admettre un run et réserver un hook en une seule étape atomique. Le jeton du hook, tiré de votre domaine (ID de commande, de facture), sert de clé d'idempotence : un doublon lève HookConflictError au lieu de démarrer un second run. Cela remplace le motif getHookByToken() puis start(), qui laissait une course.

start(fn, args, { experimental_hook: { token } }) : admission du run et réservation du hook en une étape
Doublon : HookConflictError avec conflictingRunId, puis resumeHook(token, payload)
Disponible dans workflow 5.4.0 ; experimental_minRetention refuse aussi les doublons tardifs

Votre identifiant métier est déjà votre clé d'idempotence.

Lire la fiche Source

10 GO Discussion

Go 1.27 : encoding/json/v2 est stable

go.dev4 novembre3 min de lecture

Go 1.27 déclare stables encoding/json/v2 et encoding/json/jsontext. Les défauts changent : erreur sur l'UTF-8 invalide et les noms dupliqués, casse stricte des champs, slices et maps nil encodées en [] et {}. Unmarshal gagne jusqu'à 10 fois en vitesse ; l'ancien paquet reste supporté indéfiniment.

Go 1.27 : encoding/json/v2 et encoding/json/jsontext stables ; v1 supporté indéfiniment
Défauts : erreur sur UTF-8 invalide et noms dupliqués, casse stricte, nil devient [] ou {}
Unmarshal jusqu'à 10 fois plus rapide ; Marshal à parité

Votre JSON v1 a peut-être des habitudes que v2 refusera.

Lire la fiche Source

VeilleTech — feed du jeudi 5 novembre