VeilleTech — 2026-11-06

01 SÉCURITÉ Faille

OpenSSH 10.6p2 : un mot de passe long ouvre Alpine

The Hacker News5 novembre4 min de lecture

Sur les systèmes musl comme Alpine, un sshd compilé sans PAM accepte n'importe quel mot de passe de 257 à 1 024 octets pour un compte sans mot de passe (« * » dans /etc/shadow), dès qu'un autre compte en a un vrai. OpenSSH 10.6p2 et des paquets Alpine corrigés sont sortis le 5 novembre ; aucune attaque n'est signalée et aucun CVE n'était encore attribué.

musl sans PAM : 257 à 1 024 octets ouvrent un compte « * »
Corrigé : OpenSSH 10.6p2 ; Alpine 3.21.10, 3.22.8, 3.23.8, 3.24.4
Sinon : PasswordAuthentication no, puis rc-service sshd restart

Sur Alpine, l'étoile qui verrouillait un compte l'ouvrait.

Lire la fiche Source

02 NODE Article

Node.js 27 : v8.serialize illisible par Node 26

Node.js5 novembre4 min de lecture

Node.js 27 alpha passe de V8 14.6 à 15.6. Le format de sérialisation de V8 change : ce que v8.serialize() écrit n'est plus lisible par les versions précédentes, la limite par défaut du tas double sur une machine de 8 Go, et Math, le tri ou error.stack changent de comportement à la marge. C'est la phase où ces ruptures sont autorisées, avant la LTS.

V8 14.6 → 15.6 : ce que v8.serialize() écrit, Node 26 ne le relit pas
Tas par défaut : ½ RAM, de 256 Mo à 4 Go (8 Go de RAM → 4 Go)
Drapeaux --experimental-wasm-* renommés --wasm-*, anciens noms refusés

Entre Node 26 et 27, vos données sérialisées ne vont que dans un sens.

Lire la fiche Source

03 LARAVEL Article

Laravel 13.40 : avec strict, abc123 ne vaut plus 0

Laravel News5 novembre2 min de lecture

Laravel 13.40 ajoute un argument strict aux helpers integer(), float(), boolean() et string(). Sans lui, une valeur invalide passe par un cast PHP : abc123 devient 0, maybe devient false, un tableau fait échouer string(). Avec strict: true, la valeur invalide renvoie le défaut fourni, y compris null.

Sans strict : ?per_page=abc123 donne 0, ?notify=maybe donne false
integer('per_page', 25, strict: true) renvoie 25 si la valeur est invalide
Aussi sur safe(), Uri::query(), $attributes Blade et $this->input()

Un défaut qui ne vaut qu'en cas d'absence ne vous protège de rien.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : HttpClient rejoue vos API depuis un HAR

Symfony5 novembre2 min de lecture

Symfony 8.2 ajoute au composant HttpClient un enregistreur : les vrais échanges HTTP d'un test sont écrits une fois dans un fichier HAR, puis rejoués en CI sans réseau. C'est la variable SYMFONY_HTTP_RECORDER, pas le code du test, qui autorise les vrais appels, et les secrets sont masqués avant l'écriture.

#[UseRecord] sur le test, fichier HAR rejoué en CI sans réseau
SYMFONY_HTTP_RECORDER : replay (défaut), missing, record, passthrough
Masqués par défaut : Authorization, Cookie, X-Api-Key, password…

Le réseau se décide à l'exécution, plus dans le code du test.

Lire la fiche Source

05 SYMFONY Article

Symfony UX 3.7 : jusqu'à 46 % de CPU en moins

Symfony5 novembre3 min de lecture

Symfony UX 3.7 regroupe plus de 100 pull requests. Sur le tableau de bord de test de l'équipe, TwigComponent et LiveComponent consomment de 15 à 46 % de temps CPU en moins, une fois les templates recompilés. La version ajoute UX CSS, expérimental, sort le UX Toolkit de l'expérimental, et change le comportement de Dropzone.

Temps CPU : −15 % à −46 % selon la requête, après un cache:clear
UX CSS : css() dans Twig, vérifié par lint:twig et cache:clear
Dropzone écarte les fichiers hors accept : lire UPGRADE.md avant

Le gain le plus simple de la version tient dans un cache clear.

Lire la fiche Source

06 PHP Article

PhpStorm 2026.3 vérifie votre code contre PHP 8.6

PhpStorm5 novembre3 min de lecture

PhpStorm 2026.3 vérifie le code contre PHP 8.6, attendu plus tard en novembre : dépréciations signalées avec correctifs rapides, syntaxe 8.6 repérée dans les projets qui visent encore 8.5. La couche Air accueille les agents existants, qui peuvent lancer ces inspections via le serveur MCP de l'IDE. Les rapports d'erreur et de gel partent désormais automatiquement chez JetBrains.

Niveau PHP 8.6 : dans les réglages ou lu dans composer.json
Signalés : valeur de retour de __construct, yield, mb_ereg*, clamp()
Rapports d'erreur automatiques : à couper dans Data Sharing

Votre IDE connaît PHP 8.6 avant votre production.

Lire la fiche Source

07 OUTILS Article

Herd 2 : une copie du site par agent, base comprise

Laravel News5 novembre3 min de lecture

Laravel Herd 2.0, pour macOS et Windows, ajoute les workspaces : une copie isolée d'un site sur sa branche et son sous-domaine, en copy-on-write, avec une base partagée, clonée ou vide et un .env réécrit. Herd Studio place un chat d'agent, un diff et un terminal à côté de l'aperçu du site. Le tout reste gratuit.

herd workspace feature-auth → feature-auth.shop.test, sur sa branche
--database=clone ou --database=empty (MySQL, MariaDB, Postgres, SQLite)
Gratuit, Studio compris ; Pro : 99 $ la 1re année, puis 79 $ par an

Un agent, une branche, une base : chacun chez soi.

Lire la fiche Source

08 VERCEL Article

Vercel Schedules : des crons créés sans redéployer

Vercel5 novembre1 min de lecture

Vercel Schedules, successeur des Cron Jobs, passe en bêta publique sur toutes les offres. Une tâche se programme dans vercel.json ou depuis le code, et s'active, se désactive ou se lance sans redéploiement. Une fonction déclenchée par un schedule devient privée, sans URL publique.

Bêta publique sur toutes les offres, successeur des Cron Jobs
Déclencheur schedule/v1beta : la fonction n'a plus d'URL publique
Pro : 5 $ le million d'exécutions ; Hobby : 500 créations, 5 000 runs

Un horaire qui change ne demande plus de déploiement.

Lire la fiche Source

09 IA Article

Phonon : un TTS local, Apache 2.0 en anglais seulement

Hugging Face5 novembre2 min de lecture

Gradium a ouvert il y a deux semaines Phonon, un modèle de synthèse vocale de 65 à 75 Mo qui tourne sur l'appareil, jusque dans un navigateur. Il se classe dans les trois premiers en intelligibilité dans chaque langue évaluée sur l'Open TTS Leaderboard de Hugging Face. Seule la version anglaise est en Apache 2.0 ; celle qui parle français est non commerciale.

Phonon 31m (anglais) en Apache 2.0 ; 40m (5 langues) non commercial
Premier son en 28 ms (p95, CPU) contre 165 ms pour Pocket TTS
Transformers ≥ 5.21 : gradium/phonon-31m-en ; ptts, 10+ backends

Une voix locale et libre, à condition qu'elle parle anglais.

Lire la fiche Source

VeilleTech — feed du vendredi 6 novembre