Revue tech du 2 novembre 2026 : PHP, LXD, quotas OpenAI et trois levées

Au 2 novembre 2026, les messages qui circulent remettent en avant des correctifs déjà publiés, un changement de quota chez OpenAI, une mesure de visibilité dans les AI Overviews, et plusieurs annonces de financement. Ce qui suit s'appuie sur les textes ouverts ce jour-là. Là où le texte de première main manque, la phrase reste celle de la reprise.

IA

Andrej Karpathy a publié le 31 octobre un billet, puis le 1er novembre un message, sur HackerTube, un site qu'il présente comme un clone de YouTube alimenté par les vidéos recommandées dans les commentaires de Hacker News. Dans le message, il écrit avoir fait filtrer par Claude 43 millions de commentaires sur 20 ans, pour aboutir à 6 454 vidéos qui continuent d'être recommandées, en environ deux heures avec Opus 5.5. Le billet précise le tri : les commentaires ont été téléchargés, filtrés, puis passés dans un workflow Sonnet de Claude Code pour écarter le pourriel, jusqu'à environ 40 000 commentaires qui recommandent une vidéo YouTube. Le décompte affiché est le même : 6 454 vidéos, de 2007 à 2026, réparties en 150 sujets. Il écrit que le seul travail fait à la main a été de créer une clé d'API Google Cloud pour les métadonnées YouTube, de démarrer un serveur et d'acheter le nom de domaine. Le site est annoncé à l'adresse hackertube.org.

Côté OpenAI, les notes de version du centre d'aide, à la date du 29 octobre 2026, décrivent une hausse de l'usage Work et Codex inclus dans les offres Pro et Business Premium. Les offres Pro 100 et Pro 500 incluent le double de leur quota Work et Codex précédent. La baisse annoncée le 29 septembre pour Pro 200 est annulée : les abonnés Pro 200 qui étaient sur le quota le plus bas obtiennent le double de ce quota, et rejoignent la même limite. Ce texte ne parle pas d'un doublement de toutes les limites du produit. Nicolas Krassas a relayé un article de BleepingComputer qui élargit la formule au doublement des limites Pro et à l'arrivée de fonctions Work dans le tchat.

Un autre article du centre d'aide indique qu'à partir de décembre, les offres Plus, Pro et Business auront un quota d'usage partagé entre ChatGPT et Codex, mesuré en tokens. La consommation dépend du modèle et de la tâche. Le tchat Instant n'y puise pas. Le jour de décembre n'est pas donné, ni le volume du quota. Kris Krakowiak reprend cette bascule dans un message du 2 novembre.

Cybersécurité

Le 21 octobre 2026, le projet PHP a publié un avis : les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles qui peuvent permettre une exécution de code à distance sans authentification. CVE-2026-109618 concerne un état interne laissé incomplet lorsqu'une allocation mémoire échoue. CVE-2026-109619 concerne un état de requête qui peut survivre à la libération de sa mémoire et être relu par une requête suivante sur le même processus. L'avis vise les installations qui servent des requêtes web, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Il place le risque le plus haut sur mod_php, où une requête non authentifiée peut déclencher l'attaque avant le code de l'application. Google Cloud attribue à chacune un score de 9,2. La CISA a ajouté les deux identifiants à son catalogue des failles exploitées le 26 octobre 2026, et demande d'appliquer ces versions.

Le projet PHP ne publie plus de mises à jour pour PHP 8.1 et les branches plus anciennes. L'avis précise que des rétroportages sources minimaux ont été fournis pour PHP 7.4, 8.0 et 8.1, à l'usage de ceux qui compilent eux-mêmes ou qui n'ont pas d'éditeur de support long. Les distributions et ces éditeurs ont reçu les correctifs à l'avance. Un message du 2 novembre dit que les correctifs ne couvrent que PHP 8.2 et au-delà, et qu'il n'existe pas de vrai correctif pour les versions plus anciennes. C'est plus catégorique que l'avis, qui distingue l'absence de version officielle et l'existence de ces rétroportages sources.

Le 28 octobre 2026, la CISA a ajouté CVE-2026-46300 au même catalogue. La notice parle d'une initialisation manquante dans le noyau Linux. Le NVD la classe en élévation de privilèges locale, avec un score de 7,8, et donne aux agences fédérales la date limite du 31 octobre 2026. Ubuntu la nomme Fragnesia dans un billet du 13 mai 2026. Jason Soar écrit le 2 novembre qu'elle est enchaînée aux failles PHP pour déposer des webshells et exécuter des commandes avec les droits d'administration. Ni l'alerte CISA du 28 octobre ni le billet Ubuntu ouvert pour cette revue ne décrivent cette chaîne.

Canonical a publié un avis sur LXD et MicroCloud, repris le 1er novembre par The Hacker News et par Nicolas Krassas. La faille CVE-2026-112816 permet à un attaquant qui atteint l'API HTTPS de s'authentifier comme un client déjà reconnu, dont il possède le certificat public, sans la clé privée. L'avis indique que, selon les droits du compte imité, cela peut donner un accès d'administration sur la machine hôte. Sur MicroCloud, intercepter le certificat public d'une machine qui rejoint le cluster peut suffire à s'authentifier ensuite comme cette machine. Les versions corrigées indiquées sont LXD 6.10.1, 5.21.9, 5.0.11 et 4.0.15, et MicroCloud 3.4.1 et 2.1.5. The Hacker News attribue à la faille un score de 10,0. La page Ubuntu du CVE, lue le 2 novembre, décrit le contournement et les versions, sans afficher ce score.

Mirage2FA est un kit d'hameçonnage décrit par ANY.RUN le 18 août 2026. Le rapport le présente comme un service qui relaie une connexion Microsoft 365, y compris l'étape d'authentification à plusieurs facteurs, et récupère le cookie de session. ANY.RUN compte 4 561 événements de vol de cookie dans un ensemble de 9 332 événements de compromission potentielle, sur une fenêtre allant de septembre 2024 à juillet 2026. Le rapport prévient que ces chiffres sont des estimations. Il ne cite pas de CVE. Le message de Nicolas Krassas du 1er novembre réunit dans la même phrase ces 4 561 cookies, le contournement de l'authentification à plusieurs facteurs et CVE-2026-69836, noté 10,0. Le guide qu'il cite juxtapose le kit et une faille de désérialisation dans Entra ID. Aucun avis Microsoft n'a été ouvert pour vérifier ce rapprochement. ANY.RUN indique qu'un changement de mot de passe ne retire pas à lui seul une session déjà volée, et que la réponse passe par la révocation des sessions.

Trois affaires françaises datées du 1er novembre circulent via French Breaches.

DEKRA Automotive a confirmé un incident survenu le 20 octobre 2026 chez un sous-traitant. Le compte rendu reprend le communiqué adressé aux personnes concernées : des données liées à des réservations de contrôle technique sur le site DEKRA-Norisko ont été exposées, soit les noms, les prénoms, les adresses e-mail et les numéros de téléphone. L'entreprise indique avoir notifié la CNIL et déposé plainte. Le nombre de personnes n'est pas donné. Le communiqué ne mentionne pas de données bancaires, de mots de passe ni de pièces d'identité, et il alerte sur des appels, des SMS ou des e-mails qui se feraient passer pour un organisme de confiance. Le message du jour renvoie à ce compte rendu.

La Grande Pharmacie Bailly, à Paris, fait l'objet d'une revendication, pas d'une confirmation de l'officine. French Breaches et Fuites Infos relatent une mise en vente annoncée le 1er novembre, portant selon l'auteur de l'annonce sur plus de 303 000 personnes, avec des numéros de sécurité sociale et des ordonnances. Fuites Infos a consulté un échantillon de neuf ordonnances nominatives, datées de 2021 et 2022, qui ne portent pas de mention lisible de la pharmacie. Le volume et le lien avec l'officine restent donc ceux de la revendication.

Bien'ici fait l'objet d'une autre revendication le même jour, signalée dans un message distinct. Fuites Infos indique que le titre de l'annonce porte « 13K », sans dire ce que le chiffre compte, et que l'extrait joint décrit des fiches d'agences : raison sociale, adresse, téléphone, numéro SIREN, numéro de carte professionnelle. Le portail n'a pas communiqué, selon cette lecture. L'extrait analysé ne contient ni mot de passe, ni donnée bancaire, ni fiche d'acheteur ou de locataire.

Deux publications sur le contrôle des agents de code sont aussi relayées, l'une sur Galvanize 3, l'autre sur un dépôt de Trail of Bits. zn a publié les poids de Galvanize 3, un classifieur qui note un texte selon qu'il cherche à détourner les consignes d'un agent. La fiche Hugging Face indique environ 140 millions de paramètres, une licence Apache 2.0, une entrée d'au plus 512 tokens, et un fonctionnement sur processeur. Le billet de l'éditeur précise que ce sont les poids qui vérifient les appels de son API depuis le 23 octobre 2026. La fiche ajoute qu'environ une attaque sur dix échappe au modèle, sur le jeu de test multilingue de l'éditeur, au seuil utilisé en production. Trail of Bits publie de son côté un dépôt de plugins pour Claude Code, Codex et l'espace de travail ChatGPT. Le README compte 46 entrées, réparties entre analyse de sécurité, tests et outillage de développement. L'une d'elles, supply-chain-risk-auditor, porte sur les dépendances npm, PyPI et Go.

SEO

L'étude qu'un message du 2 novembre remet en avant est un billet Ahrefs du 26 mai 2025, signé Louise Linehan, sur 75 000 marques. Ahrefs y calcule des corrélations de Spearman avec la présence d'une marque dans les AI Overviews. Le volume de recherche sur le nom de marque est à 0,392. Le nombre de liens entrants est à 0,218. Le premier coefficient vaut donc près du double du second, ce que le message résume. Les signaux les plus forts du même tableau sont ailleurs : les mentions du nom sur le web, à 0,664, et les ancres de lien qui contiennent la marque, à 0,527. Ahrefs écrit que la corrélation n'est pas une cause, et que l'ensemble des facteurs étudiés reste de modéré à très faible sur cette échelle. Le message ajoute qu'un brevet de Google noterait un site selon le volume de recherches sur son nom, et qu'on peut vérifier le sien sans frais dans la Search Console. Ni le brevet, ni ce mode d'emploi, n'ont été ouverts.

Sitebulb a relayé le 1er novembre une étude de GSC Wizard, publiée le 14 octobre 2026 par Jan-Willem Bobbink, sur 155 propriétés Search Console, de juin 2025 à septembre 2026. La Search Console ne marque pas les requêtes issues d'AI Mode. L'auteur classe donc des formes de requêtes qui ressemblent à une réplique dans une conversation. Sur ce classement, les répliques brèves du type « yes » passent de 5,6 à 116 par million d'impressions, soit une multiplication par 21. Les questions de relance du type « what about salary » sont multipliées par 39. La part médiane des requêtes ainsi classées passe de 0,032 % à 0,22 % des impressions. Leur taux de clic est de 2,9 %, contre 35,6 % pour l'ensemble des requêtes agrégées. Elles pèsent 0,13 % de toutes les impressions. L'auteur présente le travail comme une lecture indirecte, sur un ensemble qui mélange des sites de clients et les siens, pas comme un tirage au sort du web.

Entreprise

The Subvocal Company annonce des lunettes qui transcrivent une articulation silencieuse en texte. Le sujet est signalé sur X le 1er novembre. Hindustan Times, le 31 octobre 2026, cite un message d'Aarush Yadav, cofondateur avec Arnav Kumar : la société aurait levé 1,3 million de dollars auprès de Y Combinator et d'Afore Capital. Dealroom décrit un pré-amorçage d'environ 1,3 million de dollars, avec un premier investissement d'Afore Capital de 500 000 dollars en avril 2026, puis un apport de Y Combinator et de business angels. La même fiche, qui s'appuie sur une page de présentation Y Combinator non ouverte ici, parle d'une détection par radiofréquence, sans caméra.

Dulo, la startup de Sebastian Thrun et d'Adrian Aoun, est créditée d'un tour d'amorçage de 130 millions de dollars pour des modèles de fondation appliqués à la conception de matériel. Le chiffre et le tour viennent de The Information, selon un message de TAAFT Research et selon SaasBuzz, qui citent aussi une confirmation d'Adrian Aoun. L'article de The Information n'a pas été lu : il est derrière un paiement. SaasBuzz écrit qu'aucun investisseur n'est présenté comme chef de file, que le site de la société se limite à quelques lignes et à la mention d'une sortie à venir, et qu'aucune valorisation n'est donnée.

Easol a publié le 28 octobre 2026 un communiqué, relayé le 2 novembre. La société annonce 30 millions de dollars : 20 millions en fonds propres, auprès notamment de Y Combinator, Tiger Global, Foundation Capital, FMZ Ventures, Notion Capital et Eight Roads, et une ligne de dette de 10 millions auprès de Viola Credit. Il s'agit d'une extension de série A. Le total levé atteint 60 millions. Le communiqué situe des bureaux à Londres, New York et Los Angeles, et indique qu'en 2026 la plateforme a servi des expériences réservées par 2,8 millions de personnes, dans plus de 135 pays. L'argent finance Teammates, des agents que les clients construisent dans l'outil, sur leurs données d'activité, pour le support, la vente, les opérations, et pour repérer du chiffre d'affaires qui n'a pas été conclu. Le communiqué ne dit pas que ces agents sont entraînés sur 2,8 millions de réservations.

Y Combinator tient une page Requests for Startups. Le 2 novembre, elle affiche une liste intitulée Winter 2027. L'introduction dit que les blocages de l'IA se déplacent au-delà des modèles, vers le matériel, l'infrastructure, les systèmes financiers et des logiciels spécialisés, de l'usine au centre de données, en passant par l'administration et le spatial. Les intitulés lus ce jour-là comprennent, entre autres, des robots fabriqués aux États-Unis, des modèles de fondation spécialisés par secteur, la chaîne d'approvisionnement des centres de données, et une IA qui fonctionne sans connexion sortante. Le message d'Aurélien Bardon qui signale le sujet ne contient pas de lien : il joint une capture, qui n'a pas été transcrite. Rien ne permet donc d'affirmer que cette capture montre la liste Winter 2027 plutôt qu'une liste antérieure.