Deux choses, et vite. PHP, à cause de PHP2Shell, qui permet d'exécuter du code sur ton serveur sans être connecté. Et tes trust stores TLS, depuis que huit certificats eMudhra sont compromis. Côté IA, Cloudflare sort Clairic pour extraire des données typées, et Mistral sort Timestral pour les séries temporelles.
À retenir
- PHP2Shell se corrige en patchant le runtime PHP, pas tes dépendances.
- Après eMudhra, une erreur de certificat se règle en mettant à jour le trust store. Jamais en coupant la vérification.
- Clairic et Timestral vont dans le même sens: des petits modèles spécialisés qui travaillent à côté des LLM.
Cette semaine
PHP2Shell, deux failles critiques dans PHP
securitylabs.datadoghq.comÀ suivre
Ce qui s'est passé. Deux failles dans PHP lui-même, CVE-2026-109618 et CVE-2026-109619. Une requête HTTP forgée suffit pour exécuter du code sur le serveur, sans authentification. Les correctifs sont sortis le 21 octobre dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. D'après les signalements d'AWS relayés par Datadog, des attaquants testaient déjà la faille avant qu'elle soit rendue publique.
Impact pour les développeurs. Si tu ne peux pas patcher tout de suite, désactive `session.upload_progress.enabled` dans le php.ini (pas via ini_set), puis redémarre PHP-FPM. Ça réduit l’exposition au vecteur décrit publiquement, mais ce n’est pas un correctif: seule la mise à jour de PHP l’est.
Notre avis. Patch aujourd'hui. Le piège classique, c'est l'image de base qu'on n'a pas touchée depuis un an et qui embarque un vieux PHP.
Huit certificats eMudhra compromis
blog.cloudflare.comIncontournable
Ce qui s'est passé. Huit certificats intermédiaires de l'autorité eMudhra reposent sur des clés faibles. Navigateurs et systèmes d'exploitation leur faisaient confiance. Résultat: un attaquant peut fabriquer un certificat valide pour n'importe quel domaine et se placer au milieu du trafic. Cloudflare a déployé des correctifs sur ses services et publié cloudflared 2026.10.2.
Impact pour les développeurs. Chrome est déjà corrigé. Ton backend, pas forcément. Selon ton stack, la vérification des certificats passe par une lib HTTP, le runtime, l'OS ou un trust store embarqué dans l'image. Mets à jour la bonne couche, rebuild, redéploie. Et si des erreurs de certificat apparaissent après coup, ne coupe surtout pas la vérification TLS pour les faire disparaître.
Notre avis. Honnêtement, peu de devs savent quel trust store utilise leur service en prod. Cette semaine est une bonne occasion de vérifier.
Clairic, le modèle d'extraction de Cloudflare
blog.cloudflare.comIncontournable
Ce qui s'est passé. Cloudflare ouvre en preview Clairic sur Workers AI. Tu envoies un texte, ou jusqu'à quatre images, avec une liste de champs typés. Le modèle renvoie des valeurs: lues dans le texte, calculées, estimées avec un intervalle à 80 %, ou prévues sur une série. Il répond en une seule passe sans générer de tokens, donc tu ne paies que l'entrée. Les poids ouverts sont promis pour plus tard.
Impact pour les développeurs. Plus de JSON cassé à rattraper avec des retries. Chaque champ revient au bon type, ou à null s'il est absent, avec un score de confiance et sa position dans le texte. Cloudflare prévient lui-même que les calculs en plusieurs étapes ne sont pas encore fiables.
Notre avis. Ce qui m'intéresse, c'est l'architecture qu'ils proposent. Un petit modèle typé extrait, un autre décide, et le LLM ne sert qu'à rédiger la réponse.
Timestral, les séries temporelles chez Mistral
mistral.aiÀ suivre
Ce qui s'est passé. Mistral publie Timestral, sa première famille de modèles de fondation pour séries temporelles. Quatre tailles, de 5M à 209M paramètres. Mistral annonce la première place sur GIFT-Eval, TIME et fev-bench pour le plus gros. Les prévisions sont probabilistes, multivariées et acceptent des covariables. Licence MIT modifiée.
Impact pour les développeurs. Ça tourne sur CPU. Sur 8 threads, une prévision prend 10 ms avec le 5M et 140 ms avec le 209M. Si tu fais du monitoring ou de la planification de capacité, tu peux tester en zero-shot avant d'entraîner quoi que ce soit.
Notre avis. Les benchmarks viennent de Mistral et le rapport technique n'est pas encore sorti. Je le testerais sur mes propres métriques avant d'y croire.
Outils
kagentÀ suivre
Framework open source (CNCF Sandbox) pour faire tourner des agents IA dans Kubernetes. Les agents sont des CRD, déployés en GitOps comme le reste.
XERJÀ suivre
Moteur de recherche local en Rust, compatible avec l'API Elasticsearch. Ton agent interroge un index au lieu de lancer des grep. Les gains en tokens sont mesurés par le projet lui-même.