VeilleTech — 2026-11-10

01 SÉCURITÉ Faille

bee-js 13.3.0 : un postinstall vole votre clé Swarm

The Hacker News9 novembre5 min de lecture

Le 9 novembre 2026, des attaquants ont publié, avec des identifiants de CI volés, @ethersphere/bee-js 13.3.0 sur npm et Swarm Desktop 0.56.2. Un script postinstall télécharge un chargeur qui vole la clé du portefeuille du nœud et installe une porte dérobée sur Windows, macOS et Linux. Les deux versions sont retirées, mais ce retrait ne nettoie pas une machine déjà touchée.

Compromis : @ethersphere/bee-js 13.3.0 et Swarm Desktop 0.56.2. Sains : 13.2.0 et 0.56.3
Chargeur : api.frameworkmetrics[.]xyz ; porte dérobée dans ~/.solidity/
Provenance npm valide : elle prouve l'origine du build, pas la sûreté du code

Une provenance valide ne dit pas que le code est sain.

Lire la fiche Source

02 SÉCURITÉ Faille

Claude Code : « ne plus demander » écrit vos secrets

heise Developer9 novembre3 min de lecture

Apiiro a trouvé de vrais secrets dans plus de 1 100 dépôts publics sur plus de 100 000 copies du fichier .claude/settings.local.json. La cause est une fonction documentée : choisir « Oui, ne plus demander » enregistre la commande, identifiants compris, dans ce fichier. Le fichier est censé rester local, mais son exclusion de Git saute dans plusieurs cas courants.

Fichier : .claude/settings.local.json — option « Yes, and don't ask again »
1 105 dépôts avec vrais secrets sur 100 000+ copies ; 2 539 secrets dans 1 994 dépôts
À faire : chercher le fichier dans l'organisation et l'historique, changer les clés avant de nettoyer

Le clic le plus pratique est celui qui publie votre mot de passe.

Lire la fiche Source

03 SÉCURITÉ Faille

Qubole : un rôle AWS inutilisé a suffi aux voleurs

Wiz9 novembre4 min de lecture

Entre le 14 et le 26 octobre 2026, un attaquant a utilisé des identifiants du compte AWS de Qubole pour endosser les rôles IAM créés par ses clients, puis lire leurs secrets et copier des buckets S3. La plupart des rôles n'étaient plus utilisés, mais leur politique de confiance nommait toujours le compte de Qubole. Wiz, Sentra et Mandiant publient les indicateurs à chercher dans CloudTrail.

Compte à chercher dans CloudTrail : 805246085872, adresse source hors AWS, depuis le 1er octobre
IAM : AIDA3W7DIFLYOLTK63SFS ; sessions quiam-* ; IP 57.129.54.120
Défense : supprimer les rôles inutiles, condition aws:SourceIp, révoquer les sessions

Un rôle que vous n'utilisez plus reste une porte.

Lire la fiche Source

04 SÉCURITÉ Faille

SSHole : exploitée, la faille OpenSSH entre au KEV

CISA9 novembre2 min de lecture

La faille SSHole d'OpenSSH, présentée le 6 novembre comme sans exploitation connue, a désormais un identifiant, CVE-2026-123158, un score CVSS de 8,1 et des attaques réelles : 20 tentatives depuis 13 adresses au 8 novembre. CISA l'a ajoutée le 9 novembre à son catalogue des vulnérabilités exploitées, avec trois autres failles dont une sur GPUStack.

CVE-2026-123158 (CVSS 8,1) : au catalogue KEV de CISA depuis le 9 novembre
20 tentatives, 13 adresses ; premier essai moins de 9 h après le CVE
Corrigé : OpenSSH 10.6p2 puis redémarrage de sshd ; sinon PasswordAuthentication no

Ce qui était un correctif à planifier est devenu un incident possible.

Lire la fiche Source

05 IA Discussion

Claude Fable 5.2 : moins cher, et un mode rapide ×2,5

anthropic.com9 novembre3 min de lecture

Anthropic publie Claude Fable 5.2 et Mythos 5.2, le même modèle sous deux jeux de garde-fous. Le prix baisse à 8 $ le million de jetons en entrée et 40 $ en sortie, et un mode rapide, jusqu'à 2,5 fois plus vite, coûte le double. Anthropic recommande toujours Opus 5.5 comme modèle de tous les jours.

Fable 5.2 : 8 $ en entrée, 40 $ en sortie par million de jetons (avant : 10 $ / 50 $)
Mode rapide : jusqu'à ×2,5, à 16 $ / 80 $ le million
Modèle claude-fable-5-2 ; SDK TypeScript 1.7.0 ; défaut conseillé : Opus 5.5

Moins cher, plus rapide, mais pas le modèle par défaut.

Lire la fiche Source

06 IA Discussion

e-means : k-means en 1 à 3 époques au lieu de 25

e-means.github.io9 novembre3 min de lecture

Des chercheurs de Meta publient e-means, un k-means par mini-lots avec moyenne mobile exponentielle qui atteint en 1,2 à 3 époques l'erreur de test de Lloyd à 25 époques. Les auteurs annoncent 10 à 45 fois moins de temps sur GPU et 8 à 15 fois sur CPU. C'est une prépublication non relue, mais le code est dans Faiss.

1,2 à 3 époques au lieu de 25 : 10 à 45× sur GPU, 8 à 15× sur CPU (mesures des auteurs)
1,6 à 2,4 époques sur 11 jeux d'embeddings VIBE ; aucun hyperparamètre à régler
Prépublication arXiv:2611.09501 ; from faiss.contrib.e_means import Emeans

Vingt-cinq passages sur vos vecteurs, quand trois suffisent peut-être.

Lire la fiche Source

07 NODE Discussion

Node 27 : keepAlive à 65 s, headers sans prototype

Node.js Design Patterns9 novembre2 min de lecture

L'alpha de Node.js 27 change deux défauts du serveur HTTP : keepAliveTimeout passe de 5 à 65 secondes, et req.headers n'a plus de prototype, si bien que req.headers.hasOwnProperty(...) lève une TypeError. Le second est une rupture à chercher dans le code ; le premier explique une cause classique de 502 intermittents derrière un ALB, corrigeable dès aujourd'hui.

keepAliveTimeout : 5 s → 65 s (un ALB coupe à 60 s d'inactivité)
req.headers.hasOwnProperty(…) → TypeError ; utiliser Object.hasOwn(req.headers, '…')
Node 27 : Current en avril 2027, LTS en octobre 2027

Un en-tête sans prototype, et un hasOwnProperty qui plante.

Lire la fiche Source

08 SYMFONY Article

Symfony 8.2 : extraire plus de messages à traduire

Symfony9 novembre3 min de lecture

Symfony 8.2 améliore la chaîne de traduction. translation:extract résout désormais ternaires, match, chaînes interpolées, variables et méthodes, et lit les libellés des formulaires Twig. Les fichiers XLIFF gardent leur élément source, Twig gagne un domaine par défaut pour tout le fichier, et le group_by de ChoiceType accepte des objets traduisibles.

translation:extract résout ternaires, match, chaînes interpolées, variables, méthodes
Twig : form_label(), form_widget(), form_help(), form_row() extraits ; trans_default_domain … for _self
XLIFF garde <source> ; group_by de ChoiceType accepte TranslatableInterface

Les messages que votre extracteur ne voyait pas, il les voit.

Lire la fiche Source

09 WEB Discussion

Un piège .htaccess coupe 80 % du trafic des bots

shkspr.mobi9 novembre3 min de lecture

Un développeur affirme avoir réduit de plus de 80 % le trafic de robots sur son site avec un honeypot : un lien invisible, interdit par robots.txt, dont la visite écrit l'adresse IP du visiteur dans .htaccess. Il compte plus de 400 adresses bloquées en une semaine et un trafic retombé de 216 à environ 25 Go par jour. La méthode est brutale, sans appel, et ses limites sont connues.

Piège : /honeypot/ + Disallow dans robots.txt + lien caché sur chaque page
Une visite inscrit l'IP dans .htaccess ; réponse 402 ensuite
Mesuré par l'auteur : 216 Go/jour → environ 25 Go ; plus de 400 adresses bloquées

Un lien que personne ne voit, et que seuls les robots suivent.

Lire la fiche Source

VeilleTech — feed du mardi 10 novembre