Cryptolab.re

Cette semaine : PaperCut NG/MF subit une seconde vague d’attaques, deux failles SonicWall SMA 1000 sont exploitées, Plex demande une mise à jour rapide sans encore détailler les CVE, DokuWiki corrige un défaut pouvant mener à une RCE ou à la suppression de fichiers, et Home Assistant 2026.9 modernise Modbus. File Browser est désormais archivé, tandis que Tailcat réutilise le plan de données de Tailscale sans compte ni control plane.

Microduck est un robot bipède de 25 cm conçu par Pollen Robotics, l’équipe robotique de Hugging Face. Il se précommande 399 $ avant taxes et livraison. En France, le robot seul m’a coûté 408 € TTC. Avec un Charger Pack, un Accessory Pack Yellow et le port, ma commande atteint 523,20 € TTC. Ce prix n’achète ni un assistant domestique ni un robot autonome prêt à accomplir des tâches dans une maison. Microduck est d’abord une plateforme de développement assemblée, équipée de 15 moteurs et livrée avec des comportements entraînés pour marcher, se relever ou saisir un petit objet. La partie qui a motivé ma commande n’est pas seulement le matériel. Pollen publie le logiciel embarqué, le simulateur MuJoCo et la chaîne d’entraînement jusqu’au déploiement des politiques ONNX. Les plans mécaniques et électroniques restent en revanche fermés. Mon cas d’usage est précis : relier le robot à l’instance Hermes Agent de mon homelab, sans donner au modèle de langage un accès direct aux moteurs. Hermes choisirait des actions limitées ; le robot conserverait sa boucle de contrôle, ses limites et son arrêt local. Les premières livraisons sont visées avant Noël 2026. En attendant, ce texte n’est pas un test, mais le raisonnement derrière la commande, ce que les sources publiques permettent de vérifier et le programme que je compte suivre à la réception.

Cette semaine : Zimbra corrige une injection de commandes déjà exploitée, Next.js traite deux exécutions de code à distance sous Windows et avec AVIF, Ubiquiti publie un bulletin couvrant 22 failles UniFi, Unraid 8 abandonnera Slackware pour Fedora uCore, et LibreOffice 26.8 travaille la typographie et les formats complexes. La veille remonte aussi Ubuntu 26.04.1, le chiffrement par défaut de Backblaze B2, une injection SQL non corrigée dans AppFlowy auto-hébergé et l’archivage de Nitter.

Un fichier .env ignoré par Git reste un fichier en clair. Dans une stack Docker Compose, il finit facilement dans une copie de migration, une sauvegarde, une archive de support ou, un jour, l’historique du dépôt. SOPS et age permettent de corriger une partie du problème sans déployer un gestionnaire de secrets centralisé. Le principe est simple : le dépôt contient un fichier chiffré, les clés privées restent hors de Git et le serveur ne déchiffre que les valeurs nécessaires au déploiement. Docker Compose reçoit ensuite ces valeurs sous forme de fichiers montés dans /run/secrets/. Les mots de passe ne passent plus par environment: et ne finissent plus dans la configuration du conteneur. Cette méthode convient bien à un homelab, à quelques VPS ou à une petite infrastructure pilotée par Git. SOPS reste un outil de chiffrement de fichiers, pas un gestionnaire de secrets centralisé, et ne protège pas un hôte déjà compromis.

Cette semaine : GitLab corrige CVE-2026-19478, qui permet de modifier ou supprimer des projets publics sans authentification, Linux 7.2 apporte le cache-aware scheduling et de nouveaux pilotes, WordPress 7.1 déplace une partie du traitement des images dans le navigateur, Firefox 154 corrige 58 CVE, et GitHub revient sur une panne de 7 h 47 causée par un défaut de capacité. La veille remonte aussi le vote Debian sur les contributions assistées par IA, les certifications Nextcloud, Homepage 2.0, Readeck 0.23 et plusieurs nouveaux projets auto-hébergés.

J’ai longtemps gardé tout mon homelab sous Docker Compose. Pas par rejet de Kubernetes : Compose faisait le travail, les volumes étaient faciles à retrouver et je savais remettre un service en route sans relire une pile de manifests. K3s est arrivé plus tard, quand j’ai voulu uniformiser les déploiements et préparer l’ajout d’autres machines. Je n’ai pas tout migré pour autant. Aujourd’hui, les deux cohabitent encore. C’est volontaire. Pour trancher, je regarde surtout la panne : avec lequel des deux vais-je retrouver les données et remettre le service en route sans improviser ?