Cryptolab.re

L’association entre « HTML2Shell » et CVE-2026-42069 est erronée : ce numéro concerne un défaut d’autorisation dans Kirby CMS. La faille du décodeur Brotli permettant une corruption mémoire, avec un risque d’exécution de code, porte un autre numéro : CVE-2026-111497. Pour savoir quoi mettre à jour, il faut distinguer ces deux problèmes et vérifier les composants réellement déployés.

gpu-unlock déverrouille certaines capacités de calcul des GeForce RTX 3000 sous Linux. L’objectif ici : faire tourner l’IA locale plus vite avec la carte déjà installée dans le serveur. Dix-huit essais avec Qwen3.8 27B sur une RTX 3090 comparent les performances dans Ollama avant et après activation.

Pangolin permet désormais d’exporter en YAML les ressources créées dans son interface. J’aime bien ce genre d’ajout : on peut commencer avec des clics, puis récupérer une configuration à relire, à versionner et à reproduire. C’est l’une des bonnes nouvelles de ce Weekly #36, du 17 au 24 octobre 2026, avec KeePassXC 2.8 stable et quelques projets à découvrir. Côté maintenance, les correctifs PHP et GitLab passent en priorité.

PHP a publié les correctifs des deux failles critiques annoncées cette semaine. Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 sont disponibles, ainsi que les paquets Debian 12 et 13. L’exécution de code sans authentification est démontrée sur mod_php et, avec certaines applications, sur PHP-FPM : les serveurs web concernés ont une mise à jour à faire.

OpenCode 2.0 permet de déléguer une relecture ou une commande longue en arrière-plan, de composer ses outils MCP en JavaScript et de piloter ses propres sessions par API. L’agent de développement open source généralise aussi le service local automatique et stabilise les plugins du terminal. Pour les utilisateurs, ces changements facilitent le travail en parallèle et l’intégration de l’agent dans leurs propres workflows.

GitLab corrige une exécution de code sans authentification, et Collabora publie un avis sur son serveur CODE intégré à Nextcloud. Pour ce dernier, désactiver l’application ne ferme pas le chemin d’attaque : c’est sa version installée qu’il faut vérifier. Deux sujets à traiter avant de passer aux nouveautés de cette sélection du 9 au 16 octobre 2026. Du côté des nouveautés, je retiens les métadonnées en français de Sonarr 5 et les diagrammes de Sync-in. La découverte de la semaine, Homelable, s’attaque à une tâche moins spectaculaire mais bien utile : garder le plan du réseau et sa documentation au même endroit.