Une instance GitLab auto-hébergée doit passer en tête de la file de maintenance cette semaine. La faille CVE-2026-19478 permet, dans certaines conditions, de modifier ou supprimer des projets publics et des données utilisateur sans authentification. Le correctif est disponible et des tentatives d’exploitation ont déjà été rapportées.
Les autres sujets sont moins urgents. Linux 7.2 intéresse surtout les machines récentes et certains profils de charge. WordPress 7.1 apporte des changements importants à l’éditeur et au traitement des médias, ce qui justifie un test des thèmes et extensions. Firefox 154 contient un ensemble important de correctifs de sécurité. Enfin, le retour d’incident GitHub rappelle qu’un dépôt distant, même très fiable, ne doit pas devenir l’unique copie exploitable d’une chaîne de livraison.
En bref#
- GitLab : mettre à jour immédiatement les instances auto-gérées vers 18.11.11, 19.0.8, 19.1.6 ou 19.2.4 au minimum.
- Linux 7.2 : ne pas installer un noyau mainline à la main sur un serveur stable. Attendre l’intégration et les rétroportages de la distribution, sauf besoin matériel précis et environnement de test.
- WordPress 7.1 : sauvegarder, tester les extensions et vérifier particulièrement les blocs et styles qui interagissent avec l’éditeur désormais toujours exécuté dans une iframe.
- Firefox : installer Firefox 154 ou la version ESR corrigée fournie par le canal utilisé. L’avis Mozilla regroupe 58 CVE, dont plusieurs problèmes de mémoire et d’élévation de privilèges classés élevés.
- GitHub : conserver des clones et artefacts réellement restaurables, puis identifier les déploiements incapables de fonctionner lorsque GitHub, Actions ou l’API sont indisponibles.
GitLab : CVE-2026-19478 permet d’altérer des projets publics sans authentification#
GitLab a publié en urgence les versions 19.2.4, 19.1.6, 19.0.8 et 18.11.11 pour les éditions Community et Enterprise. L’avis concerne toutes les méthodes de déploiement, sauf mention contraire : paquet Linux, installation depuis les sources, chart Helm et conteneur.
CVE-2026-19478 est une injection de code via une directive GraphQL. GitLab indique qu’un utilisateur non authentifié peut, dans certaines conditions, modifier ou supprimer à distance des projets publics et des données utilisateur. Le score CVSS 3.1 est de 9,4 sur 10, avec une attaque réseau de faible complexité, sans privilège ni interaction.
Les branches concernées sont précisément :
- GitLab 18.2 à 18.11.10 ;
- GitLab 19.0 à 19.0.7 ;
- GitLab 19.1 à 19.1.5 ;
- GitLab 19.2 à 19.2.3.
GitLab.com et GitLab Dedicated exécutent déjà une version corrigée. L’action concerne donc les instances auto-gérées.
Le risque est concret pour une instance exposée sur Internet avec des projets publics. La société watchTowr affirme avoir reproduit l’exploitation à partir des informations publiques, puis observé des tentatives sur ses honeypots moins de deux jours après la publication du correctif. Ce signal ne permet pas de mesurer l’ampleur des compromissions, mais il suffit pour ne pas traiter la mise à jour comme une maintenance ordinaire.
Vérifier la version d’une installation Omnibus :
sudo gitlab-rake gitlab:env:info | rg 'GitLab information|Version'Dans un conteneur nommé gitlab :
docker exec gitlab gitlab-rake gitlab:env:info | rg 'GitLab information|Version'La même publication corrige CVE-2026-19650, une faille CSRF dans le traitement des requêtes GraphQL multiplexées. Son exploitation exige une interaction utilisateur et son score est de 7,1. Elle renforce la nécessité de prendre le patch complet, même pour une instance qui n’héberge aucun projet public.
Les versions correctives n’ajoutent pas de migration. GitLab documente une mise à jour sans interruption pour les déploiements multinœuds correctement préparés. Un paquet Omnibus arrête toutefois les services, exécute la reconfiguration puis les redémarre par défaut. Il faut donc prévoir une fenêtre réaliste au lieu de déduire « zéro interruption » de la seule absence de migration.
Après la mise à jour, je vérifierais au minimum :
- l’intégrité des projets publics et de leurs branches protégées ;
- les suppressions, renommages et changements de visibilité depuis le 17 août ;
- les commits et tags inattendus, en particulier dans les dépôts utilisés par une CI ;
- les journaux HTTP et Rails autour des requêtes GraphQL anormales ;
- la restauration d’un projet depuis une sauvegarde récente.
Il n’existe pas encore d’indicateur public suffisamment stable pour transformer cette vérification en simple commande rg. Une requête GraphQL n’est pas suspecte par nature. Il faut corréler l’heure, la source, l’absence d’authentification et les mutations réellement observées.
Avis de sécurité GitLab 19.2.4, 19.1.6, 19.0.8 et 18.11.11
Signal d’exploitation rapporté par IT-Connect
Linux 7.2 : un meilleur placement des tâches sur les CPU à plusieurs caches#
Linus Torvalds a publié Linux 7.2 le 16 août après sept versions candidates. La dernière semaine a encore demandé plusieurs retours arrière tardifs, notamment dans le scheduling DRM. Le code jugé insuffisamment prêt a été retiré plutôt que conservé pour tenir une liste de fonctionnalités.
Le changement le plus intéressant pour les serveurs est le cache-aware scheduling. Sur un processeur qui possède plusieurs domaines de cache de dernier niveau, le scheduler peut mieux regrouper des tâches liées afin de limiter les accès à un cache distant. Le gain dépend fortement de l’architecture, de la topologie CPU et de la charge. Un petit serveur à un seul domaine de cache ne verra pas nécessairement de différence mesurable.
La version ajoute aussi :
- USB4STREAM pour certains usages à haut débit et faible latence sur USB4 ;
- de nouvelles améliorations I/O et pilotes pour les plateformes AMD et Intel ;
- le pilote AMD ISP4 et les premiers éléments HDMI 2.1 FRL côté AMDGPU ;
- des évolutions dans ext4, Btrfs, le réseau, KVM et Rust.
Une version mainline n’est pas une cible de migration automatique pour un serveur Debian, Ubuntu, RHEL ou Proxmox. Les distributions choisissent un noyau, ajoutent leur configuration, valident leurs pilotes et rétroportent les correctifs utiles. Remplacer ce noyau par un build générique uniquement pour obtenir une nouveauté de scheduling complique le support et le retour arrière.
Contrôles simples :
uname -r
LC_ALL=C lscpu | rg 'Model name|Socket|Core|Thread|L3 cache'Sur Debian et dérivées, voir les noyaux proposés sans rien installer :
apt-cache policy linux-image-amd64 linux-genericLinux 7.2 a surtout du sens immédiatement pour tester du matériel récent, valider un pilote attendu ou mesurer une charge sensible à la topologie des caches. Pour un serveur stable sans besoin identifié, rester sur le noyau maintenu par la distribution est le choix raisonnable.
Annonce Linux 7.2 par Linus Torvalds
Synthèse des changements Linux 7.2
Archives officielles du noyau Linux
WordPress 7.1 déplace le traitement des images dans le navigateur#
WordPress 7.1, nommée « Mary Lou », apporte plus de 1 500 améliorations et correctifs selon le projet. Le volume n’impose pas une mise à jour immédiate, mais plusieurs changements touchent directement les thèmes, les blocs et les workflows éditoriaux.
La nouveauté la plus opérationnelle concerne les médias. La compression, le redimensionnement et la génération des miniatures peuvent désormais s’exécuter dans le navigateur grâce à une version WebAssembly de libvips. L’objectif est de réduire la charge PHP côté serveur et d’éviter les limites mémoire ou les délais d’expiration lors de gros envois. La version ajoute aussi la gestion native d’AVIF, HEIC et des gain maps HDR.
Cela ne supprime pas les contraintes serveur. Le fichier original doit toujours traverser le reverse proxy et arriver jusqu’à WordPress. Les limites client_max_body_size, post_max_size, upload_max_filesize, l’espace disque et les droits d’écriture restent donc pertinents.
La release ajoute également :
- des styles responsives configurables dans l’éditeur ;
- un nouvel éditeur de médias pour le recadrage, la rotation et les métadonnées ;
- des notes sur une sélection de texte, avec mentions et mise en forme ;
- les blocs Playlist et Tabs ;
- une API publique pour enregistrer des collections d’icônes ;
- une barre d’administration persistante dans les éditeurs.
Le point de compatibilité à surveiller est l’éditeur d’articles, désormais toujours exécuté dans une iframe, y compris avec les thèmes classiques. Cette isolation évite que les styles de l’administration contaminent le contenu, mais elle peut révéler des extensions ou blocs anciens qui supposaient un DOM partagé. Les blocs restés sur une ancienne version de la Block API méritent un test ciblé.
Inventaire en lecture seule avec WP-CLI :
wp core version
wp plugin list --update=available
wp theme list --update=availableAvant la production, tester au moins la création et l’édition d’un article, les blocs spécifiques au site, les champs personnalisés, l’envoi d’une grande image et la génération des formats utilisés par le thème. Une sauvegarde de la base et de wp-content reste nécessaire, même si la mise à jour automatique fonctionne habituellement.
Annonce WordPress 7.1 « Mary Lou »
Guide de migration WordPress 7.1
Firefox 154 corrige 58 CVE et protège aussi les WebSockets locaux#
Mozilla publie Firefox 154 avec 58 identifiants CVE dans son avis de sécurité : 20 sont classés élevés, 26 modérés et 12 faibles. Aucun n’est classé critique par Mozilla, et l’avis ne signale pas d’exploitation active.
La liste comprend néanmoins plusieurs catégories qui justifient une mise à jour rapide du navigateur :
- évasion de sandbox dans Remote Settings Client ;
- défauts d’isolation de site ;
- élévations de privilèges dans le DOM, WebGL et plusieurs composants graphiques ;
- use-after-free dans WebAssembly, le ramasse-miettes JavaScript, le texte, ImageLib et Canvas2D ;
- bugs internes présentant des signes de corruption mémoire.
Un navigateur traite du contenu non fiable toute la journée. L’absence d’exploitation connue ne rend donc pas utile d’attendre plusieurs semaines, surtout sur un poste d’administration qui accède aux hyperviseurs, consoles cloud ou secrets d’infrastructure.
Firefox 154 étend aussi la protection Local Network Access aux WebSockets. Un site qui tente d’ouvrir une connexion WebSocket vers une ressource du réseau local doit désormais demander une autorisation. Le changement réduit une voie utilisée par des pages distantes pour dialoguer avec des services exposés uniquement sur le LAN ou sur la machine locale.
Parmi les autres changements : sauvegarde locale des profils disponible sur macOS en plus de Linux et Windows, traduction du contenu des iframes, recherche plus rapide dans les vidéos et prise en charge de GeForce NOW sous Windows.
Vérifier la version selon le mode d’installation :
firefox --version
flatpak info org.mozilla.firefox 2>/dev/null | rg '^Version'
snap info firefox 2>/dev/null | rg '^installed:'Les parcs en ESR doivent suivre leur branche corrigée plutôt que forcer Firefox 154. L’avis couvre également Firefox ESR 115.39, 140.14 et 153.1 selon les défauts concernés.
Notes de publication Firefox 154
Avis de sécurité Mozilla MFSA 2026-74
GitHub explique sa panne de 7 h 47#
La panne GitHub du 17 août a touché le site, l’authentification, les API, Actions, les pull requests, les issues et Copilot pendant 7 heures et 47 minutes. GitHub l’attribue à un pic de trafic qu’un composant critique de son datacenter Central US n’a pas pu absorber.
La pression de capacité s’est propagée jusqu’à provoquer des erreurs d’authentification sur plusieurs services. Pendant la reprise, certains clients Copilot sont entrés dans une boucle de tentatives, augmentant encore le trafic au mauvais moment. Les équipes ont dû limiter ce comportement avant de restaurer complètement les services.
GitHub précise que ni cette panne ni l’incident Actions du 6 août ne provenaient d’un changement de code ou de configuration. Les deux avaient un défaut de capacité à leur origine. La plateforme indique être passée de 1,4 milliard de commits mensuels en avril à 2,9 milliards, tandis qu’environ 58 % de la charge de la plateforme et la moitié des opérations Git sont désormais servies depuis Azure.
Le retour d’expérience dépasse GitHub. Une dépendance centrale peut échouer sans déploiement fautif. Les retries non bornés transforment ensuite une dégradation en charge supplémentaire et ralentissent la reprise.
Pour une équipe qui dépend fortement de GitHub, les contrôles utiles sont concrets :
- les dépôts essentiels ont-ils des clones complets et récents, incluant les tags et branches nécessaires ?
- les releases et images de conteneurs critiques existent-elles ailleurs que dans un seul registre ?
- la documentation d’incident reste-t-elle accessible sans GitHub Pages ni wiki GitHub ?
- un déploiement peut-il être suspendu proprement si l’API, OIDC ou Actions est indisponible ?
- les scripts internes limitent-ils réellement leurs retries avec un backoff et un budget global ?
Multiplier les miroirs sans tester la restauration crée surtout une impression de résilience. Un exercice périodique, depuis un clone ou un registre secondaire, donne une réponse plus utile.
GitHub - panne du 17 août et travaux engagés
Chronologie technique de l’incident
Signaux de veille cette semaine#
Debian vote sur l’usage des LLM dans les contributions. Le scrutin est ouvert du 15 au 28 août 2026. Les propositions vont de l’interdiction des contributions assistées à une autorisation conditionnelle fondée sur la responsabilité, la revue, la compatibilité juridique, la confidentialité et, selon les options, la divulgation de l’outil utilisé. Aucun résultat ne peut encore être présenté comme la politique Debian. Le sujet intéressant pour les mainteneurs n’est pas la détection automatique d’un texte « IA », peu fiable, mais la personne qui comprend, teste et assume le changement envoyé.
Nextcloud Files obtient une certification CSPN de l’ANSSI. La certification porte sur un périmètre et une version évalués, pas sur chaque instance Nextcloud ni sur toutes les applications tierces. Côté allemand, la formulation demande encore plus de précision : c’est le service Nextcloud opéré par Dataport qui s’inscrit dans un environnement certifié BSI IT-Grundschutz, pas le logiciel Nextcloud entier qui reçoit directement cette certification. Ces distinctions comptent dans un dossier d’homologation.
Homepage 2.0 ajoute enfin une authentification native. La version apporte aussi de nouveaux widgets, un serveur MCP et des clés API. L’authentification évite de déléguer systématiquement ce rôle au reverse proxy, mais ne transforme pas le dashboard en zone publique. Les widgets peuvent exposer des noms d’hôtes, états de service et parfois des jetons vers les API supervisées. Il faut tester la migration de configuration et conserver une restriction réseau cohérente.
Readeck 0.23 ajoute OIDC. Le service de lecture différée reçoit également un nouveau tableau de bord, des notes sur les favoris, une vue plein écran et des filtres par langue ou présence de notes. Pour une instance multi-utilisateur, OIDC simplifie la gestion des comptes. Il faut néanmoins conserver un accès administrateur de secours et valider les URI de redirection avant de basculer l’authentification en production.
Debian - vote sur l’usage des LLM
Nextcloud - certifications CSPN et IT-Grundschutz
Les pépites de la semaine#
Floppy centralise le suivi des films, séries, anime, livres, jeux, musique et podcasts. Le projet AGPL est issu d’un fork de Yamtrack et propose des intégrations avec Plex, Jellyfin, Audiobookshelf, Radarr, Sonarr, Seerr, Last.fm et d’autres services. Le déploiement Docker utilise une application et Redis. Deux valeurs par défaut doivent être lues avant exposition : le compte de démonstration peut être créé avec des identifiants publics si DEMO_ACCOUNT_ENABLED n’est pas désactivé, et le projet recommande de fermer les inscriptions après la création du premier compte.
Spotify Soloist est un client Spotify Connect officiel pour les Raspberry Pi et systèmes Linux sans écran. Un compte Premium est nécessaire à la configuration initiale, puis les comptes Free et Premium peuvent s’y connecter. Une API WebSocket locale permet de piloter lecture, volume, file d’attente et événements depuis un bouton physique ou un afficheur. Ce n’est pas un serveur de musique autonome : la lecture reste dépendante de Spotify et de ses conditions de service.
HAProxy Cluster Manager fournit une interface pour générer la configuration HAProxy, gérer les certificats ACME et piloter une paire ou un cluster Keepalived. C’est pratique, mais le niveau de privilège est élevé : l’exemple Docker utilise le réseau de l’hôte, plusieurs capacités réseau et des montages vers HAProxy et Keepalived. L’interface doit rester sur un réseau d’administration, avec 2FA ou OIDC, sauvegarde des données et revue du haproxy.cfg généré avant application.
Commande du jour#
docker system df -vLa commande détaille l’espace occupé par les images, conteneurs, volumes et cache de build Docker. Elle ne supprime rien.
C’est le contrôle à exécuter avant un éventuel nettoyage. docker system prune peut être raisonnable sur un runner jetable, mais mérite plus de prudence sur un hôte qui conserve des images utiles au retour arrière. Les volumes ne sont pas supprimés sans option supplémentaire, mais une image non utilisée actuellement peut tout de même être celle prévue pour restaurer rapidement un service.
Conclusion#
La priorité est l’inventaire des GitLab auto-gérés et leur mise à jour, suivi d’une revue des modifications sur les projets publics et dépôts utilisés par la CI. Firefox doit suivre son cycle normal de mise à jour, sans attendre une exploitation publique. WordPress 7.1 demande surtout un test de compatibilité de l’éditeur et des médias.
Linux 7.2 apporte des évolutions intéressantes, mais aucune raison générale de contourner le noyau de sa distribution. Le retour d’incident GitHub mérite enfin un exercice simple : restaurer un dépôt, une image et la documentation nécessaire sans dépendre du service principal. C’est moins visible qu’un nouveau dashboard, mais beaucoup plus utile le jour où la plateforme distante ne répond plus.
Sources#
- GitLab - Critical Patch Release 19.2.4, 19.1.6, 19.0.8 et 18.11.11
- CVE Program - CVE-2026-19478
- IT-Connect - exploitation rapportée de CVE-2026-19478
- Linux 7.2 - annonce de Linus Torvalds
- KernelNewbies - changements de Linux 7.2
- kernel.org - versions officielles du noyau
- WordPress 7.1 « Mary Lou »
- WordPress 7.1 Field Guide
- Firefox 154 - notes de publication
- Mozilla MFSA 2026-74 - correctifs de sécurité Firefox 154
- GitHub - The August 17 outage, and the work ahead
- GitHub Status - incident du 17 août
- Debian - General Resolution: LLM usage in Debian
- Nextcloud - certifications ANSSI CSPN et BSI IT-Grundschutz
- Homepage 2.0.0
- Readeck 0.23.0
- Floppy
- Spotify Soloist
- HAProxy Cluster Manager