veille/techno
retour aux rapports
Rapport #0065/2026-10-19

lundi 19 octobre 2026

Généré le 19/10/2026 10:00 · 6 articles · 2 catégories

Vulnérabilités & sécurité · 4IA & modèles · 2

Synthèse IA · gpt-oss-120b

Vulnérabilités & sécurité

  • Broadcom Wi‑Fi flaw : une vulnérabilité non corrigée permet à un attaquant à portée radio d’exécuter du code avec les privilèges root sur les routeurs basés sur Broadcom, sans mot de passe ni appairage. Critique pour les devs web qui déploient des services internes derrière ces routeurs, car cela expose les serveurs internes à une compromission totale. 1
  • OpenCode Console breach : intrusion dans le système legacy d’OpenCode le 16 octobre, potentielle fuite des clés API d’OpenAI, Anthropic et Google stockées dans la console. Impact direct sur les projets qui intègrent ces API via OpenCode, nécessitant une rotation immédiate des clés. 2
  • SiteGuard WAF command injection : exploitation d’une faille d’injection de commandes OS dans SiteGuard Server Edition, permettant l’exécution de commandes en tant que root ou SYSTEM. Les sites protégés par ce WAF sont donc exposés à une prise de contrôle complète. 3
  • ConnectWise Microsoft 365 compromise : suite à une compromission, ConnectWise a suspendu ses sauvegardes cloud et désactivé plusieurs identités d’application. Les équipes utilisant ConnectWise pour la gestion de leurs environnements Microsoft 365 doivent vérifier les accès et envisager des mesures de confinement. 4

Sécurité des packages (npm / Node)

  • Rien de notable aujourd'hui.

Nouveautés des frameworks

  • Rien de notable aujourd'hui.

Nouveautés & changements des langages

  • Rien de notable aujourd'hui.

IA & modèles

  • llm-tools-datasette 0.1.1 : la mise à jour passe LLM à httpx2, mais casse les plugins qui dépendaient d’httpx sans le déclarer, dont llm‑tools‑datasette. Les développeurs doivent mettre à jour leurs plugins ou verrouiller la version httpx pour éviter des ruptures. 5
  • llm-echo 0.5 : nouveau plugin de debug qui fournit un « model » factice renvoyant simplement l’entrée, utile pour tester des pipelines LLM sans consommer de tokens ni de ressources externes. Permet de développer et valider du code LLM en local avant déploiement. 6

DevOps & Cloud

  • Rien de notable aujourd'hui.

À retenir

  • Broadcom Wi‑Fi root exploit : priorité de mise à jour ou de segmentation réseau pour les routeurs concernés. 1
  • Fuite potentielle de clés API OpenAI/Anthropic/Google : rotation immédiate des clés et audit des accès OpenCode. 2
  • Breaking change httpx2 dans llm‑tools‑datasette : vérifier les dépendances httpx et mettre à jour les plugins pour éviter des pannes en production. 5
Sources

Articles collectés

6 articles bruts utilisés pour la synthèse

Vulnérabilités & sécurité
4 articles
[1] The Hacker News19/10/2026 11:59

Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers

A flaw in Broadcom's Wi-Fi setup software lets an attacker within radio range run code as root on Broadcom-based routers, without the network password or any pairing step, security researcher Quentin Kaiser disclosed on October 16. He showed the attack working against home gateways supplied by three Belgian internet providers, in one case reading the Wi-Fi password off the device

thehackernews.com
[2] The Hacker News19/10/2026 11:37

OpenCode Console Breach May Have Exposed OpenAI, Anthropic, and Google API Keys

An intruder reached a legacy system at OpenCode on the night of October 16 and may have exposed the third-party AI provider keys that users had saved in OpenCode Console, the company said. Console is OpenCode's optional hosted service: a workspace saves its own OpenAI, Anthropic, or Google key there, and Console uses that key to call the provider so team members can use the models without

thehackernews.com
[4] The Hacker News18/10/2026 13:53

ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

ConnectWise on Saturday said it has disabled seven ConnectWise application identities as it continues its investigation into an incident in which unknown threat actors obtained unauthorized access to the application identities and compromised Microsoft 365 tenants. The disabled identities are listed below - ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae ConnectWise

thehackernews.com
[3] BleepingComputer18/10/2026 10:23

Hackers exploit SiteGuard WAF flaw to run commands as admins

Attackers are targeting an OS command injection vulnerability in SiteGuard Server Edition that lets them execute commands as root or SYSTEM on affected servers. [...]

bleepingcomputer.com
IA & modèles
2 articles
[5] Simon Willison18/10/2026 23:43

llm-tools-datasette 0.1.1

Release: llm-tools-datasette 0.1.1 When I switched LLM over to httpx2 in LLM 0.33 I forget that this would break any plugins which used httpx without directly depending on it. llm-tools-datasette was one of those plugins, now fixed. Tags: datasette , llm

simonwillison.net
[6] Simon Willison18/10/2026 23:16

llm-echo 0.5

Release: llm-echo 0.5 I'm working towards a new LLM release, and testing PRs caused me to revisit the llm-echo debug plugin. This plugin provides a "model" which doesn't involve an LLM at all - it just repeats back the prompts that have been fed to it. The new release now updates the simulated token usage counts to take tool calls, system prompts, and reasoning tokens into account. Example usage: uvx --with llm-echo llm -m echo 'hi there' -o thinking 1 --usage Outputs: First I consider the prompt, then I decide what to say. { "prompt": "hi there", "system": "", "attachments": [], "stream": tru

simonwillison.net