Pangolin permet désormais d’exporter en YAML les ressources créées dans son interface. J’aime bien ce genre d’ajout : on peut commencer avec des clics, puis récupérer une configuration à relire, à versionner et à reproduire. C’est l’une des bonnes nouvelles de ce Weekly #36, du 17 au 24 octobre 2026, avec KeePassXC 2.8 stable et quelques projets à découvrir. Côté maintenance, les correctifs PHP et GitLab passent en priorité.
Pangolin : exporter ce qu’on a configuré#
Dans la 1.25, le menu ⋯ de chaque ressource, publique ou privée, propose Export as Blueprint. On peut copier ou télécharger son YAML, puis le réappliquer depuis l’interface, l’API, la CLI ou un blueprint de site. Le fichier peut rejoindre un dépôt Git : le prochain changement de configuration aura un diff lisible, avec les paramètres modifiés sous les yeux. Présentation de Pangolin 1.25
L’autre nouveauté concerne les ressources publiques protégées par mTLS. Le client doit présenter un certificat signé par une autorité approuvée avant d’arriver au SSO ou au PIN. Ces méthodes continuent de s’appliquer ensuite. Une API ou une interface d’administration peut ainsi être réservée à des machines provisionnées sans renoncer à identifier l’utilisateur. La régénération des identifiants des clients machine arrive aussi en Community Edition ; l’attribution de rôles à ces clients reste réservée à Enterprise Edition. Release 1.25.0
Pour la mise à jour, partez de la 1.25.3 du 23 octobre, qui actualise Node.js pour un correctif de sécurité et accélère les connexions dans les organisations comptant beaucoup de sites. Gardez Badger en 1.7.0, comme le demandent les notes : la 1.8.0 échoue au contrôle d’intégrité de Traefik, qui désactive le plugin. Les redirections ordinaires fonctionnent ; les permanentes demandent justement cette 1.8.0. Pour disposer de l’ensemble des nouvelles stratégies de répartition de charge, il faut Traefik 3.6 minimum. Release 1.25.3 et consignes
PHP et GitLab : les correctifs à appliquer#
PHP a publié le 21 octobre les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Elles corrigent deux failles critiques, CVE-2026-109618 et CVE-2026-109619, dans les versions précédentes de ces branches. Sur Apache avec mod_php, une exécution de code sans authentification est démontrée avant le lancement du code applicatif. FPM reste concerné : le scénario validé pour la seconde faille exige un chemin applicatif qui laisse un état interne après une erreur fatale. Bulletin PHP, avis OOM et avis sur l’état global
Mettez à jour le PHP qui sert le site, puis redémarrez FPM ou Apache, avec interruption possible des requêtes, ou recréez le conteneur à partir d’une image corrigée. Pour les paquets d’une distribution, comparez la révision complète à son avis de sécurité, comme celui d’Ubuntu. Notre dossier PHP détaille ces vérifications, notamment quand plusieurs versions cohabitent.
Le 23 octobre, PHP a précisé qu’un troisième cas restait à corriger. Il s’agit de CVE-2026-115560, si l’application passe de php_binary ou php_serialize à php avec ini_set() avant session_start(), alors que le suivi des uploads reste actif. Le projet suggère session.upload_progress.enabled=0 jusqu’au prochain correctif ordinaire. Ce réglage doit s’appliquer avant l’analyse des requêtes, dans php.ini ou la configuration du pool FPM, puis les workers doivent être redémarrés. Les applications qui ne changent pas de sérialiseur à l’exécution peuvent garder la fonction. Les versions du 21 octobre ne corrigent pas ce cas supplémentaire. Avis PHP du 23
Deux conséquences très concrètes dans les logiciels du lab :
- FreshRSS 1.30.4, publiée le 21, actualise les images Docker alternatives Alpine vers PHP 8.5.12 et Apache 2.4.69. Les images Debian par défaut étaient déjà corrigées, selon les mainteneurs. Le suivi des uploads est également désactivé dans Docker. Pour une installation native, vérifiez toujours le paquet PHP. Release
- Unraid 7.3.4, publié le 22, embarque PHP 8.4.27. Cela corrige le PHP du système ; celui des conteneurs applicatifs demande sa propre mise à jour. Notes de version
Sur les attaques, Sophos a rectifié son bilan le 22 octobre : sa télémétrie montrait des scans et des tentatives échouées, sans compromission réussie établie.
GitLab corrige une autre RCE, CVE-2026-110264, liée à la compilation d’expressions régulières. CE et EE sont concernés depuis la 7.0, avec une exploitation sans authentification dont les conditions complètes ne sont pas publiées. Les premiers correctifs du 21 octobre sont 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 et 19.5.1, selon la branche. Les versions recommandées dans le Weekly #35 ne couvrent pas celle-ci. GitLab.com est corrigé. Avis GitLab, fiche CVE
Les autres nouvelles#
- KeePassXC 2.8.0 est stable depuis le 21 octobre. Après la bêta du Weekly #33, l’Auto-Type sous Wayland via les portails XDG et le déverrouillage rapide par Polkit sous Linux arrivent dans la version finale, avec le passage à Qt 6. Pour un gestionnaire de mots de passe qu’on ouvre tous les jours, ces deux gestes simplifiés comptent davantage qu’une longue liste de nouvelles options. Une AppImage Linux AArch64 est aussi proposée, encore expérimentale. Annonce, release
- OpenBSD 8.0, sorti le 20 octobre, élargit ses possibilités sur les machines de bureau : hibernation sur arm64 et prise en charge des Intel Arc de série A. Côté virtualisation, son hyperviseur accepte désormais 64 vCPU par VM. L’architecture loongson quitte en revanche la liste, faute de fonctionnement avec Clang 22. Notes de version
- Uptime Kuma 2.5.7 rétablit les tentatives supplémentaires des sondes TCP avec SSL ou STARTTLS. Une mise à jour utile si ces répétitions doivent éviter de déclencher une alerte au premier échec. Les images Docker actualisent aussi Node.js. Release du 23 octobre
- openmediavault 8.5.12 corrige une régression de limitation des messages rsyslog et ajoute un repli entre miroirs APT. Les nouveaux certificats autosignés sont explicitement marqués
CA:FALSE. Si vous avez installé un ancien certificat OMV dans le magasin des autorités racines du système, le projet recommande de le recréer puis d’en retirer l’ancien. Notes du 18 octobre
La découverte : PatchMon pour suivre les correctifs du parc#
PatchMon permet de suivre les mises à jour d’un parc Linux depuis une interface web. Chaque machine remonte son inventaire par un agent, qui ouvre lui-même la connexion vers le serveur. On peut examiner les paquets en attente, simuler l’installation, l’approuver et la planifier, puis retrouver son résultat dans l’historique et les journaux d’audit.
L’intérêt tient à ce déroulé complet. Une liste de paquets disponibles dit ce qu’il reste à faire ; l’approbation et le résultat conservé permettent aussi de savoir ce qui a été décidé et exécuté sur chaque machine. C’est une bonne raison de regarder le projet quand le suivi commence à se disperser entre les terminaux, les notifications et les notes de maintenance.
Le Compose officiel de la 2.1.6 comprend le serveur Go, PostgreSQL, Redis et guacd. La proposition est plus facile à justifier pour un parc que pour une VM isolée : on ajoute tout de même une plateforme à entretenir pour organiser l’entretien des autres.
À bricoler ce week-end#
Roborock : le serveur local, sans root#
Roborock Local Server fait fonctionner les commandes et les cartes du robot sans Internet, en remplaçant le backend cloud par des services HTTPS et MQTT locaux. Le travail se fait côté réseau, sans root ni modification matérielle de l’aspirateur.
L’installation demande un DNS local, un domaine, un certificat accepté par l’appareil et une machine avec du Wi-Fi pour l’appairage. Commencez par la liste des modèles et firmwares : la chaîne de certificat acceptée compte aussi, et les Q7 M5/L5 et Q10 listés ne sont pas compatibles. La programmation horaire et les mises à jour de firmware manquent encore. La dernière version publiée remonte au 8 octobre.
CleanYourTV : retrouver ses applications sur l’écran d’accueil#
CleanYourTV 2.7.0, sorti le 23 octobre, désactive les paquets indésirables d’Android TV et installe un lanceur plus sobre, sans root. Le parcours PC s’appuie sur un assistant de code avec accès à ADB ; une application Android est également proposée. Les paquets sont désactivés avec pm disable-user, pas supprimés. Le README documente la restauration à partir de la liste appliquée et de l’historique conservé dans ~/.cleanyourtv/. Vérifiez les paquets sélectionnés pour votre modèle, gardez ces fichiers et refermez l’accès ADB après l’opération.
La 2.7.0 ajoute des modules facultatifs pour la météo, les photos, le guide TV et un aperçu Frigate. Le projet commence par enlever des tuiles, puis propose d’en remettre. Au moins, cette fois, c’est vous qui choisissez lesquelles.
La commande de la semaine#
Un paquet corrigé peut être installé pendant qu’un service utilise encore l’ancien fichier. Sous Linux avec lsof installé, cette commande en lecture seule aide à retrouver les processus concernés. Les droits administrateur permettent de voir ceux des autres comptes :
sudo lsof -nP +L1+L1 sélectionne les fichiers encore ouverts dont le nombre de liens est inférieur à un : ils ont été retirés du système de fichiers, mais un processus les utilise toujours. Les colonnes COMMAND, PID et NAME donnent le processus et le chemin. Un ancien binaire PHP ou une bibliothèque remplacée peut ainsi révéler un service oublié après la mise à jour. Manuel officiel de lsof
Les fichiers temporaires supprimés volontairement apparaissent aussi : chaque ligne ne réclame pas un redémarrage. Une sortie vide ne certifie pas non plus que les runtimes, notamment ceux des conteneurs, sont corrigés. L’outil repère un oubli possible ; il ne remplace pas l’inventaire des versions.
Bon week-end.
Sources#
- PHP : bulletin du 21 octobre et avis complémentaire du 23, CVE-2026-109618 et CVE-2026-109619.
- Ubuntu : USN-8948-1 et révisions des paquets corrigés. Sophos : analyse des tentatives et rectificatif du 22 octobre.
- GitLab : correctifs du 21 octobre et fiche CVE-2026-110264 publiée par GitLab.
- Pangolin : présentation de la 1.25, release 1.25.0 et maintenance 1.25.3.
- KeePassXC : annonce de la 2.8 stable et release 2.8.0.
- OpenBSD 8.0 : notes de version.
- Maintenances : FreshRSS 1.30.4, Unraid 7.3.4, Uptime Kuma 2.5.7 et openmediavault 8.5.12.
- PatchMon : fonctions de la 2.1.6 et services du Compose officiel.
- Roborock Local Server : dépôt, modèles et firmwares, limites et versions publiées.
- CleanYourTV : release 2.7.0 et fonctionnement et restauration.
- lsof : manuel du projet.