Source · 73 jours de veille
Ce qui a été retenu de cette source, et sur quels thèmes. Chaque fiche est une synthèse originale et renvoie à l'article d'origine.
Le langage de transformation d'OpenTelemetry passe en 1.0 avec collector-contrib v0.164.0 : sa grammaire est figée pour toute la série 1.x, et les nouveautés passent d'abord par un module expérimental. En contrepartie, le passage à cette version retire des fonctions et des feature gates qui font échouer le démarrage s'ils sont encore déclarés.
Ghostty 1.4.0 ajoute ghostty +ssh, une enveloppe du client SSH qui copie l'entrée terminfo xterm-ghostty sur la machine distante avant la connexion, avec repli sur xterm-256color. La version compresse aussi le scrollback (70 à 90 % de mémoire en moins), libère la mémoire GPU des onglets cachés sur macOS, et corrige dix failles de sécurité.
Depuis fin juillet, GitHub émet des alertes de paquets malveillants pour huit écosystèmes — crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI, RubyGems — contre le seul npm auparavant, en important le dépôt malicious-packages de l'OpenSSF (plus de 238 000 signalements). Les alertes malware de Dependabot sont facultatives et s'activent par dépôt ou par organisation ; la règle d'auto-triage qui écarte les faux positifs écarte aussi de vrais paquets malveillants.
Une brève de heise Developer rassemble plusieurs échéances : mises à jour de sécurité Node.js annoncées pour le 21 octobre, détails de six CVE CouchDB le 19 octobre, version finale de Postgres 19 visée le 19 novembre, Symfony 8.2 attendue en novembre. Python 3.16 alpha 1, pnpm 12.13 et PyPy 8.0.1 complètent le tour.
Python 3.15.0 est sorti le 9 octobre 2026, avec une semaine de retard après une troisième release candidate. Le changement qui touche le plus de code est le mode UTF-8 activé par défaut, surtout sous Windows. Viennent ensuite le mot-clé lazy pour les imports, frozendict, sentinel et le dépaquetage dans les compréhensions.
Hyperfine 2.0.0 lance désormais les commandes mesurées sans shell, exporte un JSON au schéma 2 — la moyenne passe de results[i].mean à results[i].summary.time_wall_clock.mean — et supprime --time-unit, --sort et --reference. En échange, il mesure le pic mémoire par défaut et, via --metrics, les compteurs matériels. Les scripts de CI qui s'en servent sont à revoir avant la mise à jour.
Pi, l'agent de code en terminal d'Earendil Works, passe en 1.0.0 : son codemode envoie environ 2 000 jetons de moins par requête, et la connexion OAuth aux serveurs MCP vérifie désormais l'émetteur de la réponse. L'interface démarre en plein écran, et --provider sans --model échoue au lieu de basculer en silence sur un autre modèle.
Lightpanda, navigateur headless écrit en Zig pour les crawlers, les tests et les agents, passe en 1.0.0. Le changement à surveiller : CORS est appliqué par défaut, et des requêtes cross-origin qui passaient sont désormais bloquées (--disable-features cors pour revenir en arrière). Le WebDriver classique devient utilisable pour les parcours courants.
Aurora PostgreSQL peut désormais interroger des tables Apache Iceberg et des fichiers Parquet sur S3 dans la même requête que ses propres tables, sans copie, via des tables étrangères et un moteur DuckDB embarqué. Il faut Aurora PostgreSQL 17.11 ou 18.6 au minimum, l'extension aurora_analytics et un rôle IAM dédié ; la fonction est gratuite, pas le calcul ni les lectures S3.
Microsoft publie en version finale les WSL Containers : wslc, livré avec WSL 3.0.1, construit et lance des conteneurs Linux sous Windows avec une syntaxe calquée sur Docker, sans moteur séparé, et une API NuGet permet aux applications Windows de faire de même. Compose n'est pas encore pris en charge.
Apprise, bibliothèque et CLI Python qui envoie des notifications vers plus de 160 services, sort en 2.0 avec des changements incompatibles : notify() renvoie un objet AppriseResult, deux statuts apparaissent, plusieurs options sont renommées. En échange : escalade par priorité, nouvelles tentatives ciblées, délais maximum et variables pour sortir les secrets des fichiers YAML. Source en allemand (heise), faits vérifiables dans les notes de version sur GitHub.
Appwrite 2.3, pour les installations auto-hébergées, supprime définitivement les Dev Keys, qui contournaient limites anti-abus et contrôles CSRF, d'origine et de redirection. La migration est obligatoire et efface leurs données. La durée des Functions inclut désormais le démarrage à froid, et la configuration des liens vers la console change.
Portainer 2.45 LTS est la dernière version de la branche 2.x, et la Community Edition y reste : Portainer 3.0 sera écrit d'abord pour Kubernetes et n'aura pas d'édition communautaire. Docker et Podman restent gérables mais ne recevront plus de nouvelles capacités ; la gratuité passe par une licence Business limitée à trois nœuds, au code fermé.
Herdr est un multiplexeur de terminal écrit en Rust qui, en plus des sessions persistantes à la tmux, lit l'état de chaque agent de code et prévient quand l'un d'eux attend une réponse. La version 0.9.0 est sortie le 7 septembre ; Omarchy Linux l'intègre à côté de tmux dans sa version Quattro, avec DHH parmi les contributeurs. Source en allemand.
Appwrite 2.0 ajoute des bases PostgreSQL et MySQL natives accessibles directement par leur protocole, sans passer par l'API de la plateforme, plus deux bases gérées : DocumentsDB (JSON sans schéma) et VectorsDB (index HNSW, API d'embeddings intégrée). S'y ajoutent une API de stockage compatible S3 et un serveur OAuth 2.1 / OpenID Connect. Les projets cloud migrent seuls ; une installation auto-hébergée en 1.9 exige une migration explicite.
pnpm 12 est une réécriture complète en Rust, rétrocompatible sur les commandes. Turborepo mesure 64 à 90 % de gain à l'installation sous Linux face à pnpm 10.28. Deux breaking changes attendent les pipelines : plus d'accès SSH à GitHub, GitLab et Bitbucket, et les clés inconnues de pnpm-workspace.yaml lèvent désormais une erreur.
Anthropic dévoile en avant-première le Model Hardware Standard, une couche de pilote qui doit permettre à des agents de piloter des appareils physiques comme MCP leur a ouvert les outils logiciels. Opérations read/write normalisées, découverte des appareils, et surtout un système d'étiquettes décrivant les contraintes physiques et les limites de sécurité.
Debian a voté : l'IA générative n'est ni interdite ni encadrée par des règles spéciales, et déclarer son usage reste facultatif. La responsabilité complète du contributeur, elle, est réaffirmée — comprendre, tester, assumer — avec une interdiction claire d'envoyer des données non publiques à un service externe.
Vercel a publié le 25 août deux avis critiques pour Next.js, tous deux en exécution de code à distance non authentifiée : GHSA-p293-qw3h-jr36 (CVSS 9.0) sur les serveurs hébergés sur un système de fichiers Windows, sans contournement connu, et GHSA-2xp9-vwfh-vxw4 (CVSS 9.5) sur l'API d'optimisation d'images quand un AVIF est traité. Les correctifs sont dans 15.5.24 et 16.3.3.
Nvidia publie CUDA Python 1.0, qui regroupe cuda.core, cuda.compute, cuda.bindings, cuda-pathfinder et nvmath-python sous une numérotation unique et une API stable en versionnage sémantique. L'objectif affiché : accéder à toutes les fonctions CUDA depuis Python sans passer par du C++ ni par PyTorch ou CuPy.
veilletech.fr