VeilleTech — 2026-11-14

01 SÉCURITÉ Faille

PostgreSQL : 52 failles, dont un RCE vieux de 22 ans

The Hacker News13 novembre3 min de lecture

Le 12 novembre, PostgreSQL a publié 18.7, 17.12, 16.16, 15.20 et 14.25, qui corrigent 52 failles. La plus grave, CVE-2026-6460 (CVSS 8,8), est une confusion de types vieille de 22 ans : un utilisateur qui peut créer des objets exécute du code sur le serveur. Mettre à jour le serveur ne suffit pas, il faut aussi recompiler les extensions écrites en C.

CVE-2026-6460, CVSS 8.8 : exécution de code sur le serveur
Corrigé en 18.7, 17.12, 16.16, 15.20, 14.25 (14 : dernière)
Recompiler les extensions C ; redémarrer sous Patroni

Mettre à jour le serveur ne protège pas encore vos extensions.

Lire la fiche Source

02 SÉCURITÉ Faille

Check Point : PHP2Shell exploité, puis un wiper ESXi

The Hacker News13 novembre3 min de lecture

Depuis le 30 octobre, un acteur inconnu entre dans des passerelles Check Point non corrigées par les failles PHP2Shell, passe root avec CVE-2026-123039, installe la porte dérobée TSGA, puis rebondit en SSH vers un hôte VMware ESXi où il lance un effaceur. La CISA a inscrit CVE-2026-123039 à son catalogue KEV le 13 novembre. Check Point ne se prononce pas sur l'attribution.

CVE-2026-123039 (Gaia OS, root) au KEV ; R81 à R82.20
Accès : PHP2Shell CVE-2026-109618 et -109619, IP 130.94.19[.]204
Chercher slot_CPconfigdaemon, destroy_v6, vpxuser en SSH

Le correctif existait : l'attaque a visé les passerelles en retard.

Lire la fiche Source

03 LARAVEL Article

Laravel AI SDK 1.4 : un outil plante, l'agent continue

Laravel News13 novembre3 min de lecture

Laravel AI SDK 1.4.0 renvoie désormais au modèle le message d'une exception levée par un outil, au lieu d'arrêter l'exécution de l'agent. La version change aussi le traitement des erreurs de facturation OpenAI et le nom des erreurs de flux. Plusieurs de ces changements demandent une relecture du code avant la mise à jour.

Un outil qui lève : message renvoyé au modèle, plus d'AgentFailed
OpenAI 429 de facturation : InsufficientCreditsException, sans nouvel essai
Ancien comportement : relancer l'exception dans un écouteur ToolFailed

Votre message d'erreur est désormais lu par le modèle.

Lire la fiche Source

04 SYMFONY Article

Symfony 8.2 : le Validator en six retouches

Symfony13 novembre3 min de lecture

Le billet « New in Symfony 8.2 » consacré au Validator rassemble six changements : règle Callback en ligne, Unique sur des objets, nombres BcMath, paramètres de violation non textuels, séquences de groupes et cascade plus souple. Symfony 8.2.0-BETA2 est sortie le 13 novembre. La règle écrite dans l'attribut demande PHP 8.5.

Callback + option message : le callback renvoie un booléen (PHP 8.5)
Unique(fields) sur objets ; Range et GreaterThan avec BcMath Number
cascadeCurrentGroup ; Valid avec restrictGroups à false

Une règle de validation tient maintenant dans son attribut.

Lire la fiche Source

05 IA Article

llama.cpp v1.0.0 : une base stable pour le local

Hugging Face13 novembre2 min de lecture

llama.cpp et ggml publient leur version 1.0.0 : toute rupture de l'API C publique ou de l'ABI sera désormais signalée par une version majeure. Le billet liste les canaux de distribution et annonce plus de 150 architectures de modèles prises en charge. C'est utile à quiconque embarque libllama ou fait tourner un modèle en local.

libllama et libggml 1.0.0 : rupture d'API ou d'ABI = version majeure
Majeure : API C de include ; mineure : modèle, backend ; patch : bug
Canaux : Docker, Debian, Homebrew, conda-forge, MacPorts, Winget

Votre dépendance à libllama peut enfin être bornée.

Lire la fiche Source

06 CLOUDFLARE Article

Cloudflare : un plafond de dépense pour Workers

Cloudflare13 novembre3 min de lecture

Cloudflare lance en bêta Spend Management : un plafond de dépense qui met en pause Workers et Durable Objects quand la limite est atteinte, pour les comptes en paiement à l'usage. Le blocage est décidé hors du chemin des requêtes et propagé de façon asynchrone, donc il n'est pas instantané. Les autres produits suivront.

Bêta, paiement à l'usage : Workers et Durable Objects seulement
threshold_cents 10000, action usage_block, e-mail de notification
Mesure sous 10 min, blocage asynchrone ; fichiers statiques servis

Une alerte prévient, un plafond arrête : choisissez le second.

Lire la fiche Source

07 VERCEL Article

Workflow SDK 5 : chiffré de bout en bout, par région

Vercel12 novembre4 min de lecture

Vercel publie Workflow SDK 5 : chiffrement AES-256-GCM de bout en bout avec une clé par exécution, état de chaque exécution hébergé dans sa région d'origine, et un moteur réécrit qui ramène le délai entre deux étapes de 618 à 109 ms sur le banc de Vercel. Aucune rupture majeure n'est annoncée pour migrer depuis la version 4.

AES-256-GCM, clé par exécution ; start avec region fra1
Entre deux étapes (p75) : 618 ms en v4.8.12, 109 ms en v5.2.0
experimental_retention: 0 efface les données en fin d'exécution

Le journal d'événements n'a plus à voir vos données en clair.

Lire la fiche Source

VeilleTech — feed du samedi 14 novembre