Publié le par Rodolphe
Modifié le par Rodolphe
Chargement de l'article...
Edition du 11 septembre 2026. La semaine est surtout marquée par le durcissement des composants Symfony, l’arrivée de PHP 8.6 Beta 3 et le renforcement des contrôles appliqués aux agents de développement.
Symfony 6.4.45, 7.4.18 et 8.1.6 ont reçu une série inhabituelle de correctifs de durcissement fin août, dont plusieurs concernent directement les interactions réseau, les redirections, la sérialisation et les entrées HTTP.
HttpClient rejette désormais les bombes de décompression, évite de transmettre le header Host original lors d’une redirection vers une autre autorité et refuse certaines configurations de proxy HTTPS susceptibles d’aboutir à une connexion en clair.
HttpFoundation renforce également la validation de certains chemins, cookies et headers utilisés avec X-Sendfile ou X-Accel-Redirect. Security et HttpKernel suppriment plusieurs usages risqués de unserialize(), durcissent les redirections et améliorent la gestion des paramètres de connexion malformés.
Ces publications ne sont pas présentées comme des versions de sécurité dédiées, mais Symfony parle explicitement de correctifs et d’améliorations de durcissement. Les mêmes changements ont été rétroportés sur plusieurs branches maintenues.
Sources : Symfony Blog — Symfony 8.1.6 released ; Symfony Blog — Symfony 7.4.18 released ; Symfony Blog — A Week of Symfony #1027.
PHP 8.6.0 Beta 3 a été publiée le 10 septembre 2026. Il s’agit de la dernière bêta planifiée avant le gel complet des fonctionnalités et le passage aux Release Candidates.
Cette préversion contient plusieurs dizaines de correctifs répartis entre le cœur du langage et des composants comme BCMath, CLI, DOM, Hash et Intl. Elle corrige notamment des lectures hors limites lors de certaines détections automatiques d’encodages UTF-16 et UTF-32.
Le calendrier de PHP 8.6 prévoit désormais un gel complet des fonctionnalités le 22 septembre, suivi de RC1 le 24 septembre. La version finale reste programmée pour le 19 novembre 2026.
Cette bêta reste réservée aux tests. Pour les projets Symfony et les bibliothèques Composer, elle peut être intégrée à une matrice CI non bloquante afin de détecter des régressions avant la première Release Candidate.
Sources : PHP.net — Pre-Release Builds ; PHP Wiki — Calendrier PHP 8.6 ; PHP.Watch — PHP 8.6.0 Beta 3.
La PHP Foundation a annoncé le 9 septembre l’arrivée temporaire de Daniel Scherzer au sein de son Ecosystem Security Team, financée notamment par le programme Security Engineer in Residence d’Alpha-Omega.
L’équipe constate une augmentation du nombre de signalements et de pull requests liés à la sécurité, phénomène que la Foundation associe notamment à la popularité croissante des outils d’intelligence artificielle capables d’analyser automatiquement du code.
Une partie de ces remontées ne correspond pas à la définition stricte d’une vulnérabilité PHP, mais débouche néanmoins sur des améliorations de robustesse. Daniel Scherzer doit se concentrer sur ce stock de problèmes de durcissement afin d’éviter qu’ils ne mobilisent excessivement les mainteneurs de php-src.
Il est également mainteneur de l’extension Reflection, release manager de PHP 8.5 et veteran release manager de PHP 8.6.
Sources : The PHP Foundation — Welcoming Daniel Scherzer to the Ecosystem Security Team.
GitHub a généralisé le 9 septembre de nouveaux contrôles permettant aux administrateurs Copilot Business et Enterprise de définir précisément les opérations qu’un agent peut exécuter automatiquement.
Les politiques peuvent bloquer une action, imposer une validation humaine ou autoriser son exécution sans confirmation. Elles couvrent notamment les commandes shell, la lecture et la modification de fichiers ainsi que l’accès à des domaines réseau.
Ces restrictions centralisées priment sur les réglages personnels, les configurations de workspace, les mécanismes d’auto-approbation et les autorisations précédemment mémorisées. Des règles différentes peuvent également être appliquées à plusieurs équipes d’une même entreprise.
Les contrôles sont disponibles dans l’application Copilot, Copilot CLI et les sessions Visual Studio Code utilisant Agent Host.
Sources : GitHub Changelog — Enterprise managed permissions for GitHub Copilot agent operations.
GitHub a étendu le 8 septembre ses contrôles de sécurité aux IDE JetBrains avec des politiques de sandbox pilotées par l’entreprise.
Les administrateurs peuvent désormais contrôler l’activation du sandbox, les accès au système de fichiers et au réseau, les proxies, l’utilisation de certains outils de développement ou encore l’accès au trousseau macOS. Les restrictions définies par l’organisation ne peuvent pas être relâchées depuis les réglages locaux du développeur.
La même mise à jour ajoute des diagnostics permettant de vérifier l’application effective des politiques, ainsi qu’une connexion entre une session Copilot CLI dans le terminal et le contexte de l’IDE JetBrains.
Cette évolution complète les contrôles de permissions annoncés le lendemain et illustre le déplacement des problématiques de sécurité des assistants vers l’environnement d’exécution lui-même : réseau, fichiers, terminal et outils deviennent des ressources explicitement gouvernées.
Sources : GitHub Changelog — Enterprise-managed sandbox in Copilot for JetBrains.
OpenAI a publié le 6 septembre des données internes consacrées à l’utilisation de ses agents de programmation par ses équipes de recherche. L’entreprise indique qu’à la mi-août, le volume total d’exécution des agents représentait l’équivalent de 3,1 journées-agent pour chaque journée de travail humain dans son organisation de recherche.
Le nombre d’expériences réalisées par chercheur actif a également atteint en août son niveau le plus élevé depuis le début de la mesure en janvier 2025. OpenAI précise toutefois que l’augmentation coïncide aussi avec une hausse de la puissance de calcul disponible et ne peut donc pas être attribuée uniquement aux agents.
Les données montrent également une délégation progressive de tâches plus longues et plus complexes. Les agents restent néanmoins dépendants d’une supervision humaine : plus de la moitié des tâches réussies qui auraient demandé entre quatre et huit heures à un humain ont nécessité au moins une intervention.
OpenAI indique par ailleurs avoir temporairement interrompu une partie de ses entraînements par renforcement après les incidents de sécurité découverts durant l’été, avant de reprendre certains workloads avec des environnements renforcés.
Sources : OpenAI — Research acceleration: The view inside OpenAI.
dir SocialNetwork /W
Le volume dans le lecteur C s’appelle Bragi.
Le numéro de série du volume est 2026-1014
[ bluesky ] [ facebook ] [ linkedin ] [ x ]
█