Weekly #39 : Synology DSM, Unraid 7.4 et les robots Neato en local

Synology corrige deux failles accessibles sans compte dans DSM, et Unraid 7.4 sait enfin conserver plusieurs réseaux Docker lors d’une mise à jour de conteneur. Dans ce Weekly #39, du 7 au 14 novembre 2026, il est aussi question de récupérer les cartes et les horaires d’un aspirateur Neato avec Vacuula. Après le changement de tarif de SmartThings, j’ai envie de regarder d’un peu plus près ce qu’on peut encore piloter depuis le réseau de la maison.

Synology DSM, vérifier la révision complète

#

Synology a publié le 10 novembre un avis sur deux failles exploitables à distance sans compte. La première, CVE-2026-76954, touche l’API d’authentification de DSM et permet de lire ou d’écrire des fichiers arbitraires. La seconde, CVE-2026-85101, touche le service rsync de DSM et permet notamment d’écrire des fichiers arbitraires. Je commencerais par les NAS dont l’interface DSM ou le service rsync est accessible depuis Internet, en vérifiant les redirections sur le routeur et les règles du pare-feu. Avis Synology

Dans Panneau de configuration → Mise à jour et restauration, comparez la révision complète à celle de votre branche. Synology indique 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 et 7.2.1-69057-13 comme premières révisions corrigées. Si le NAS ne propose pas encore la mise à jour, Synology documente l’installation manuelle du fichier .pat correspondant au modèle. Prévoyez le redémarrage du NAS et vérifiez ensuite la révision affichée dans le même panneau. Bulletin du GovCERT.HK, mise à jour manuelle de DSM

Unraid 7.4 se souvient des réseaux de vos conteneurs

#

Avec Unraid 7.4.0, sortie le 10 novembre, on peut rattacher un conteneur à plusieurs réseaux Docker personnalisés depuis son modèle. Unraid conserve ces rattachements quand il le met à jour ou le recrée. C’est le détail que je retiens si une application parle à sa base sur un réseau privé et à son reverse proxy sur un autre. Les deux rattachements peuvent vivre dans le modèle, là où on les retrouvera au prochain changement d’image. Annonce d’Unraid

La vue avancée du formulaire d’édition gagne aussi un champ Memory limit. Il permet de plafonner la mémoire d’un conteneur depuis l’interface. Côté stockage, on peut suivre la progression de Mover pendant qu’il transfère les fichiers, et il préserve désormais leurs liens physiques. Pour un volume où un même fichier apparaît sous plusieurs noms, ces liens continuent donc de pointer sur les mêmes données après le déplacement. Notes de la 7.4.0

Les autres nouvelles

#

• wallabag 2.6.17 reprend les quatre correctifs de sécurité de la 2.6.16, sortie le même jour. Elle répare aussi la mise à jour depuis la 2.6.15 ou une version antérieure, qui pouvait sélectionner l’alpha 2.7 et laisser l’instance hors service. Après la mise à jour, l’équipe demande de vider l’ancien dossier web/uploads/import, où des imports ratés peuvent encore être accessibles. Les nouveaux imports passent dans var/import, hors de la racine web. Notes de la 2.6.17, correctifs et nettoyage
• Pi-hole publie l’image Docker 2026.11.0, avec Core 6.6 et FTL 6.9. Le serveur web applique désormais les règles IPv4 de webserver.acl aux clients IPv4 lorsqu’il écoute en double pile. Si vous avez configuré ces règles, vérifiez l’accès à l’interface depuis un client autorisé et depuis un client bloqué après la mise à jour. Notes de l’image Docker, avis FTL
• Nextcloud Office Desktop propose l’édition locale et hors ligne des documents, feuilles de calcul et présentations avec Euro-Office. On peut aussi connecter son instance Nextcloud pour travailler à plusieurs sur un fichier. Sur Linux, le projet fournit des paquets .deb et .rpm. Côté serveur, les maintenances de novembre sont les 33.0.11, 34.0.6 et 35.0.3. Annonce du client de bureau, mises à jour du serveur
• Home Assistant Connect AUX-2 ajoute deux ports RS-232, une sortie audio analogique ou optique et un proxy Bluetooth sur un boîtier que l’on peut alimenter en PoE. L’usage qui me parle le plus est de garder un ampli qui fonctionne déjà et de lui ajouter la lecture réseau via Music Assistant. Pour le piloter aussi en série, vérifiez que votre modèle dispose du port et d’une intégration compatible. Le fabricant annonce 59 € au lancement. Annonce de Home Assistant
• SmartThings et Homebridge. Samsung prévoit de suspendre à partir du 15 décembre les appels des applications cloud dont le propriétaire n’a pas souscrit de forfait. Si votre plugin Homebridge passe par une application OAuth que vous avez enregistrée, c’est le statut de cette application qui compte. Parmi les pistes locales du billet publié mardi, LocalThings 0.37.0 confirme notamment la prise en charge de l’allumage, du volume et du choix de la source sur la barre de son Samsung HW-Q950T, dans Home Assistant. Billet sur SmartThings, calendrier de Samsung, notes de LocalThings

La découverte, Vacuula pour reprendre la main sur un Neato

#

Neato a annoncé en 2025 la fermeture progressive de son cloud. Le bouton de l’aspirateur permet toujours de lancer un nettoyage complet. Pour retrouver les cartes, les zones à éviter et les horaires, je regarderais Vacuula, dont la version 1.1.0 est sortie le 25 octobre. Le projet fournit un serveur local à faire tourner en continu, avec une application pour Home Assistant ou un déploiement Docker Compose. Un installateur configure ensuite le robot pour qu’il parle à ce serveur. Annonce de Neato, dépôt de Vacuula

Le projet liste les D3 à D7, les D8 à D10 et le D800 comme compatibles. Le premier BotVac Connected figure encore parmi les modèles à prendre en charge. Si vous comptez réutiliser vos automatisations Home Assistant, l’application donne accès à l’interface de Vacuula, tandis que l’entité aspirateur reste en chantier. Modes d’installation et compatibilité, notes de Vacuula 1.1.0

La commande de la semaine

#

Après une mise à jour dans Unraid, on peut demander directement à Docker quels réseaux le conteneur utilise et quelle limite mémoire lui a été appliquée. Depuis l’hôte, avec un compte qui peut interroger le démon Docker, remplacez mon-conteneur par son nom. La commande est en lecture seule. Documentation de docker inspect

docker inspect --type container \
  --format 'memory={{.HostConfig.Memory}}{{range $name, $_ := .NetworkSettings.Networks}}{{printf "\nnetwork=%s" $name}}{{end}}' \
  mon-conteneur

Chaque ligne network= donne un réseau rattaché. Vérifiez que les deux réseaux attendus sont présents si le service doit parler à son proxy et à sa base. memory= donne le plafond de mémoire du conteneur en octets. La valeur 0 indique qu’aucun plafond Docker n’a été configuré. Limites de mémoire dans Docker

Sources

#

• Synology DSM. Avis Synology-SA-26:19, CVE-2026-76954, CVE-2026-85101, confirmation du GovCERT.HK, procédure de mise à jour manuelle.
• Unraid. Annonce de la 7.4.0, notes détaillées de la 7.4.0.
• wallabag. Version 2.6.16 et correctifs de sécurité, version 2.6.17 et réparation de la mise à jour.
• Pi-hole. Image Docker 2026.11.0, correctif des ACL IPv4 dans FTL.
• Nextcloud. Office Desktop, maintenances de novembre.
• Home Assistant. Présentation du Connect AUX-2.
• SmartThings. Calendrier de l’accès payant, LocalThings 0.37.0.
• Neato. Annonce de l’arrêt progressif du cloud, Vacuula et ses modèles compatibles, version 1.1.0.
• Docker. Référence de docker inspect, contrainte mémoire des conteneurs.