Récap de la semaine · 25 oct. → 2 nov. 2026
Chaque jour a son temps fort. Le reste est en dessous, dans l'ordre de publication.
130 min de lecture cumulées
1:21
Temps fortSÉCURITÉ
Une faille notée 10.0 dans LXD et MicroCloud laisse un attaquant se connecter comme un client de confiance, avec son seul certificat public. Le serveur vérifiait toute la chaîne présentée, alors que TLS ne prouve la possession de la clé que pour le premier certificat. Des versions corrigées existent en snap, mais il faut contrôler celle qu'on obtient.
1:31
Temps fortSÉCURITÉ
Une version piégée de l'extension Claude Code a été servie par la marketplace de Cursor le 29 octobre, sous l'identifiant officiel anthropic.claude-code, à 5 000 utilisateurs au plus. Elle ajoute une clé SSH, tente un tunnel inverse et s'installe durablement. Mettre à jour l'extension ne retire aucune de ces traces.
1:24
Temps fortSÉCURITÉ
CVE-2026-98432, une situation de compétition dans la poignée de main TCP en IPv4, est notée 9,8 par l'équipe CVE du noyau. Anthropic dit en avoir tiré un root à distance sur un serveur avec écouteur multipath TCP, sans publier son code. Au 29 octobre, Ubuntu et RHEL n'ont aucun noyau corrigé à installer, alors que Debian, Oracle Linux et une partie de SUSE et d'Amazon Linux en ont.
1:22
Temps fortSÉCURITÉ
Au 28 octobre, git, curl et python3 livrés avec macOS font toujours confiance aux autorités eMudhra compromises, onze jours après qu'Apple a été prévenu. macOS 27.2, sorti le 26 octobre, ne corrige rien et annule le retrait manuel des racines. Les connexions HTTPS de ces outils restent interceptables : clone piégé, push altéré, jeton GitHub capturé.
1:21
Temps fortPHP
PHP a reconstruit le 26 octobre ses paquets Windows 8.2 à 8.5 pour embarquer Brotli 1.2.1, qui corrige CVE-2026-111497 (corruption de mémoire, exécution de code possible). La faille s'atteint par l'extension cURL quand la décompression automatique est active, ce qui est le cas par défaut de Guzzle. Le numéro de version PHP ne change pas : seul le suffixe -1 du fichier identifie le nouveau build.
1:21
Temps fortSÉCURITÉ
Un rapport nommé Tailworm, publié le 25 octobre par Erica Windisch (Cyberdione Labs), affirme qu'un appareil déjà piraté suffit à obtenir root sur les serveurs que les règles lui permettent d'atteindre via Tailscale SSH, dès que le transfert de port est autorisé. Tailscale n'a publié ni correctif, ni CVE, ni bulletin : les parades sont des réglages. Les résultats viennent d'un seul rapport non reproduit, et le terme « wormable » est contesté.
1:18
Temps fortSÉCURITÉ
La faille CVE-2026-111497 du décodeur Brotli de Google ne concerne pas que Node.js : Bun, Envoy, Istio et les paquets Python Brotli et brotlicffi embarquent la même copie vulnérable, et chacun doit être mis à jour séparément. En Python, les clients HTTP décodent le Brotli dès qu'un des deux paquets est installé, et pip-audit ou Dependabot ne le signalent pas encore.
veilletech.fr