Erreur 403 | #97 - Cyberattaque contre les frigos de supermarchés et un Patch Tuesday toujours hors norme
Frigos de 700 supermarchés sabotés via des contrôleurs Danfoss, zero-days Ivanti Connect Secure exploitées, registre CPR danois piraté via « 123456 », fuite Vacaf revendiquée, Patch Tuesday hors norme avec une zero-day exploitée, etc.
PandoraBox est une borne libre de décontamination de clés USB, une « station blanche » : on insère une clé, la borne analyse chaque fichier avec plusieurs moteurs de détection, affiche les fichiers dangereux sur son écran tactile, puis les supprime quand l'utilisateur touche l'écran. La nouvelle version est une réécriture complète. Elle ne dépend plus du projet Pandora du CIRCL et elle est distribuée sous forme d'image système durcie, construite à partir de Debian 13. Le code est sous licence GPL-3.0 et le boîtier imprimable en 3D sous licence CERN-OHL-S v2.
Les clés USB restent une porte d'entrée courante dans des systèmes d'information par ailleurs bien protégés. Les personnes changent d'organisation, utilisent des ordinateurs qui ne sont pas surveillés et vont sur des réseaux isolés. La borne de décontamination vérifie les objets avant qu’ils arrivent au poste de travail.
PandoraBox propose une solution ouverte, que tout le monde peut vérifier, pour remplacer les bornes du commerce. PandoraBox s’adresse aux lieux qui demandent plus de sécurité, comme les hôpitaux, les usines ou les bureaux de l’État. Elle tourne sur un petit ordinateur reconditionné avec un écran tactile, et fonctionne sans réseau.
Plus de détail sur cette nouvelle version dans la seconde partie de la dépêche.
La première version de PandoraBox s'appuyait sur Pandora du CIRCL pour analyser les fichiers. La nouvelle version repart d'une base propre et ne garde que ce qui fonctionnait : la machine à états, la détection USB avec pyudev, la quarantaine et l'interface curses du mode administrateur.
Les principaux changements :
pypandora sont remplacés par une chaîne de moteurs de détection intégrée ;fim) laisse la place à une vraie interface graphique tactile ;Chaque fichier passe par plusieurs moteurs complémentaires :
La borne a un mode « fail closed » : si la borne ne peut pas analyser tout le fichier, comme pour une archive protégée par mot de passe, un fichier trop gros ou une erreur dans un moteur, la borne ne dit jamais que le fichier est sûr. Chaque partition de la clé est analysée, et une partition illisible (chiffrée, système de fichiers inconnu) rend la clé « non vérifiée ».
Rien n'est supprimé sans l'utilisateur : les fichiers dangereux sont listés à l'écran, copiés dans la quarantaine de la borne, puis retirés de la clé seulement après un appui sur l'écran. Chaque analyse donne un rapport JSON.
La clé USB pose un risque car la clé USB est vue comme un objet dangereux. Les moteurs d'analyse risquent d'être piratés. L'image est construite avec mkosi à partir des paquets Debian 13, et ne contient que ce qui sert à analyser :
login, pas de menu de démarrage ;L'interface graphique est dessinée avec Pillow directement dans le framebuffer, sans serveur d'affichage ni navigateur.
La borne fonctionne hors ligne par défaut. Tout ce qui la modifie arrive signé :
online de l'image. Sans jeu valide, la borne n'analyse rien. Un jeu plus ancien est refusé ;systemd-sysupdate, par clé USB ou en ligne. La nouvelle version est écrite dans l'emplacement libre, et après 3 démarrages ratés, systemd-boot revient à la version précédente ;Une borne en ligne peut aussi envoyer ses journaux à un SIEM (Wazuh, Elastic, Graylog, Splunk) en syslog RFC 5424 ou en JSON, sur TLS. En ligne, seuls le service de mise à jour, l'export SIEM et NTP peuvent sortir à travers le pare-feu. La borne elle-même n'a toujours pas accès au réseau.
La borne de référence est un Lenovo ThinkCentre M720q Tiny reconditionné (Core i5-9400T, 6 cœurs), avec un écran tactile Waveshare de 7 pouces (1024x600). L'image fonctionne sur tout ordinateur x86_64 UEFI, avec 2 Go de mémoire au minimum. Le boîtier de bureau s'imprime en 3D en une seule pièce.
L'interface est pensée pour le tactile, sans bouton : attente d'une clé, progression de l'analyse, liste des fichiers dangereux, appui n'importe où sur l'écran pour nettoyer, puis résultat. Chaque organisation peut y mettre son logo, ses couleurs, ses textes et sa langue (français et anglais fournis).
L'image est testée de bout en bout dans une machine virtuelle QEMU/KVM. Le test démarre l'image avec Secure Boot, insère des clés USB émulées (vfat, exFAT, NTFS, ext4), vérifie le verdict de chaque moteur, le nettoyage, les mises à jour et le retour à la version précédente.
Le projet est en développement actif. L'analyse marche bien. L'image durcie fonctionne comme attendu. L'interface tactile répond comme il faut. Les mises à jour passent sans souci. L'export SIEM est validé. Le matériel de référence a permis de tout vérifier.
Une limite importante reste à lever : l'image et les jeux de signatures ne sont signés pour l'instant qu'avec des clés de développement, générées sur la machine qui construit l'image. Les clés de publication du projet et leur stockage ne sont pas encore définis.
Les prochaines étapes de la feuille de route :
oletools et des exécutables avec capa ;Il suffit de Docker pour construire l'image et la tester dans une machine virtuelle :
git clone https://github.com/sourcentis/pandora-box.git
cd pandora-box
image/build.sh # construit l'image
image/build-test.sh && image/vm.sh test # la teste dans une machine virtuelleLes contributions sont les bienvenues : retours d'expérience sur d'autres matériels, règles de détection, traductions de l'interface, revue de sécurité. Les vulnérabilités se signalent selon la politique de sécurité.
Commentaires : voir le flux Atom ouvrir dans le navigateur
287ème émission Libre à vous ! de l’April. Podcast et programme :
Rendez‑vous en direct chaque mardi de 15 h 30 à 17 h sur 93,1 FM en Île‑de‑France. L’émission est diffusée simultanément sur le site Web de la radio Cause Commune.
Vous pouvez laisser un message sur le répondeur de la radio, pour réagir à l’un des sujets de l’émission ou poser une question. Le 287éro du répondeur : +33 9 72 51 55 46.
Commentaires : voir le flux Atom ouvrir dans le navigateur
Tiny11 Builder, l'outil qui fabrique des ISO de Windows 11 sans les applis préinstallées et que je vous avais présenté , dispose maintenant d'une vraie appli de bureau. Elle est en pré-version et vous épargne surtout de devoir lancer vous-même à la main la fameuse tripoté de scripts PowerShell (qui restent quand même dans le dépôt Github).
Je l'ai donc testée dans une machine virtuelle Windows 11 ARM histoire de vous faire un petit retour sur cette nouvelle version.
D'abord au lancement, l'appli réclame les droits administrateur, puis elle vous fait choisir un mode (Le mode Tiny11 allège Windows, le mode Core coupe aussi les mises à jour et Defender, et le mode Custom vous laisse choisir). L'appli sait également télécharger l'ISO officielle de Microsoft à votre place, dans l'architecture et la langue de la machine, ce qui donne chez moi un Windows 11 ARM 26H2 en version Pro en français.
Le téléchargement de l'ISO ARM64 en français, directement depuis l'appli
Le mode Tiny11, celui que j'ai pris, retire donc les applis fournies avec Windows ainsi que les binaires d'Edge, de WebView2 et d'OneDrive, mais il conserve Windows Update, Defender et l'environnement de récupération actif. À l'écran, ça se résume donc à 38 "groupes de suppression" et aucune action avancée.
Le mode Tiny11
Il ne reste ensuite qu'à cliquer sur Build, avec le mode Turbo activé et au bout de 40 à 50 minutes (je suis sur une VM donc c'est lent), vous aurez une belle ISO allégée. Par exemple, chez moi, l'ISO produite fait 5,38 Go, contre environ 7,95 Go au départ (l'image source contenait les 3 éditions de Windows et en sortie, je n'en ai plus qu'une).
Fin de construction, 49,5 minutes plus tard, pour une ISO de 5,38 Gio
Ensuite, il y a le mode Core qui désactive Windows Update et Defender et supprime la récupération, sans retour possible. L'auteur conseille de réserver ça aux machines virtuelles de test. Le mode Tiny11, lui, garde les mises à jour, mais une mise à jour de fonctionnalités peut donc réinstaller des applis et des réglages que vous auriez viré avant.
Autrement dit, soit vous gardez les mises à jour et l'allègement peut parfois sauter, soit vous gardez l'allègement en vous passant de ces mises à jours.
Ensuite, reste le mode Custom, où vous cochez tout vous-même, avec le risque de casser Windows.
Ne comptez pas trop non plus sur l'outil pour contourner quoi que ce soit puisque les réglages du compte local et les vérifications matérielles ne sont pas garantis sur les nouvelles versions, et que rien ne contourne la licence ni l'activation, donc il vous faudra toujours une clé ou lire cet article .
Voilà, c'est donc à récupérer sur GitHub pour ceux qui veulent s'amuser à se faire des ISO custom de Windows (que vous testerez au préalable dans une VM évidemment, histoire de vérifier que tout fonctionne bien car je le rappelle, Tiny11 Builder est encore une pré-version.)
Source : The Register
(NdM : Tempo est une offre commerciale d'EDF, cette dépêche traite des API et flux de données ouverts permettant de connaître et prédire les coûts du kWh.)
En avril 2025, une dépêche faisait le point sur les sources accessibles sans jeton pour connaître la couleur Tempo du jour, après la fermeture des anciennes URL d'EDF. La saison des jours rouges reprend le 1er novembre : voici une mise à jour, avec une nouveauté, des prévisions au delà de demain en JSON et en données ouvertes. Transparence d'abord : je fais partie de l'équipe de Calendrier Tempo EDF, l'une des sources présentées plus bas.
L'option Tempo d'EDF compte 300 jours bleus, 43 blancs et 22 rouges par saison. Les jours rouges tombent entre le 1er novembre et le 31 mars, jamais un samedi ni un dimanche, et le kWh y coûte nettement plus cher. La couleur du lendemain est fixée par RTE et annoncée la veille. Pour piloter un chauffage ou une machine à laver depuis une box domotique, il faut donc une source lisible par une machine.
/api/today et /api/tomorrow, qui renvoie "status": "unavailable" tant que la couleur de demain n'est pas publiée. Si vous lisez déjà RTE directement, gardez cette source : c'est l'originale.Exemple :
curl https://www.calendrier-tempo.fr/api/today
{"status": "ok", "date": "2026-10-09", "couleur": "BLEU", "code": 1}
C'est ce qui a changé depuis 2025 : on trouve maintenant des prévisions en JSON, sans compte.
/api/predictions : une prévision par jour jusqu'à J+15, avec la probabilité de chaque couleur et la température moyenne prévue, recalculée chaque soir à partir des prévisions de consommation de RTE, de la météo (Open‑Meteo) et des règles officielles de Tempo. /api/remaining donne les jours restants par couleur dans la saison.Une prévision reste une prévision, et seule la couleur publiée fait foi. Plus l'échéance est lointaine, plus c'est une tendance qu'une certitude.
Plusieurs fils de forums domotiques l'ont montré l'hiver dernier : des prévisions affichées sans historique, on ne sait jamais ce qu'elles valent. Chez Calendrier Tempo EDF, chaque prévision est figée au moment où elle est émise, de J‑15 à la veille, puis comparée à la couleur réelle. L'historique complet, erreurs comprises, est consultable en ligne et téléchargeable en CSV sous licence CC BY 4.0 :
De quoi mesurer soi‑même la fiabilité par échéance, et comparer les sources cet hiver.
L'API ne demande ni compte ni clé, et les réponses sont en cache deux minutes : une requête toutes les trente minutes suffit largement. Des configurations prêtes à copier pour Home Assistant (intégration installable via HACS, sous licence MIT), Jeedom et Domoticz sont réunies sur une page : intégrations domotique. Documentation de l'API : https://www.calendrier-tempo.fr/api-tempo
Comme en 2025 : si vous connaissez d'autres sources sans jeton, ou si vous suivez la fiabilité des prévisions de votre côté, les commentaires sont là pour ça.
Commentaires : voir le flux Atom ouvrir dans le navigateur
Je sais que c'est à la mode en ce moment de vibecoder des outils qui manipulent des PDF donc c'est pour ça que je relaie cette alerte de Wordfence qui vient de publier le détail d'une faille dans Ghostscript (c'est un programme très connu qui transforme grosso modo les PDF en images).
Argus, l'agent IA de recherche de faille de Wordfence, a donc trouvé cette vuln d'un score CVSS de 9,8 sur 10 référencée sous le code CVE-2026-39919. Elle est assez grave puisqu'un PDF piégé contenant une image JPEG 2000, forgé pour l'occasion, suffit à faire écrire Ghostscript au-delà de sa mémoire et donc à introduire dans la mémoire de la machine du code malveillant.
Côté WordPress pur, le chemin est tordu car pour fabriquer la miniature d'un PDF, Wordpress appelle Imagick, qui appelle ImageMagick, qui lance ensuite Ghostscript. Mais Wordfence a obtenu par ce biais une exécution de code sans authentification sur un site de test monté pour l'occasion, y compris avec le paramétrage de sandbox -dSAFER activé.
Pour être touché, il faut donc 4 choses en même temps :
Comme vous le savez surement, WordPress de base ne laisse pas un anonyme envoyer de PDF dans la médiathèque, donc il faut qu'un plugin, un formulaire ou un compte lui ouvre la porte pour que la première condition soit remplie.
Bien sûr, ça ne s'arrête pas à WordPress puisque tout ce qui est outil de gestion de documents, services d'impression, passerelles mail ou API de conversion peuvent être également exposés à partir du moment où ils donnent des PDF inconnus à un Ghostscript vulnérable.
Maintenant pas de panique parce que ces exploits mis au point par Wordfence exigent quand même d'être forgés spécifiquement pour l'environnement ciblé et aucune exploitation sauvage n'a été constatée pour le moment.
Maintenant si un attaquant connait votre build ou vise un hébergeur dont plusieurs sites partagent la même image, ça fera surement des dégât, donc il vaut mieux patcher ça.
D'après la page de sécurité d'Ubuntu et le suivi de Debian , Ubuntu a corrigé ses 22.04, 24.04 et 26.04, et Debian sa 13, tandis que Debian 12 reste marquée vulnérable. Red Hat a des paquets corrigés pour RHEL 8, 9 et 10, AlmaLinux 10 aussi depuis le 2 octobre, et Wordfence notait au 9 octobre que Fedora 44 et Alpine 3.22 et 3.23 en étaient encore à leurs anciennes révisions.
Et ne vous fiez pas au numéro que renvoie gs --version puisqu'Ubuntu 22.04 greffe son correctif sur un Ghostscript qui continue de se présenter comme une version 9.55.0. C'est surtout la révision du paquet qui tranche. Un dpkg -s ghostscript la donnera sur Debian et Ubuntu et un rpm -q ghostscript vous donnera l'info sur une Red Hat / Fedora.
Et sous Docker, il faudra "pull" une image à jour, reconstruire sans le cache et redéployer tout ça.
Reste une parade si le correctif n'existe pas encore pour votre système qui est expliqué sur
la page de politique de sécurité d'ImageMagick
. Sur cette page, vous trouverez une règle à intégrer dans le fichier policy.xml, qui ne laisse que l'écriture des formats PDF, PS, PS2, PS3 et XPS, et désactive l'aperçu de PDF.
La commande magick identify -list policy permet ensuite de vérifier que le changement est bien pris en compte. Bien sûr, elle ne fonctionne qu'avec ImageMagick et il est possible qu'une autre bibliothèque se glisse entre votre application et Ghostscript, donc soyez vigilant.
Dans tous les cas, si vous avez un doute, le mieux reste encore de demander à votre hébergeur si son Ghostscript dispose du correctif de la CVE-2026-39919.
Source : le billet de Wordfence et l'article de BleepingComputer
Ce monsieur écoutait Buldozer de Trampa. Avec des écouteurs filaires.
David : Il faut remonter assez loin en vérité. Car c’est mon grand frère qui, durant une courte période, prenait des gens en photo écoutant de la musique. Je pense qu’inconsciemment cela m’est toujours resté en tête. J’ai également et parallèlement toujours été curieux de connaître ce que les personnes, que je croisais dans la rue ou les transports en commun, pouvaient bien écouter. Je me suis aussi demandé comment faire en sorte que d’autres personnes partageant ma curiosité puissent découvrir cette musique « cachée ». Donc je dirais que l’origine même du projet prend sa source à la fois dans cet héritage fraternel et cette curiosité personnelle.
Est-ce que tout le monde accepte de révéler sa musique ? Est-ce qu’il y a de la gêne à avouer qu’on écoute des comptines ou du Wagner dans la rue ? (ce sont des exemples, hein, on ne juge pas).
Cette dame écoutait Score Suite, par Marcelos Zarvos. Avec des écouteurs filaires.
Ce monsieur écoutait Smells Like Teen Spirit, de Nirvana. Avec des écouteurs filaires.
Est-ce qu’il t’arrive de photographier des gens à leur insu ? Comment tu gères la question du droit à l’image ? Si je te demande ça, c’est qu’on sent un certain flou sur cette question des droits. Tu indiques sur ton site que ton projet est protégé à l’INPI, tes conditions générales mentionnent le classique droit d’auteur « standard ». Et tu nous présentes le projet, à nous, qui nous définissons comme « libristes ». As-tu songé à mettre tes œuvres sous licence libre ? Est-ce que c’est une réflexion que tu mûris ?
Gaël Duval , le créateur de Mandrake Linux et de /e/OS, vient de sortir ElixirOffice , une suite bureautique libre conçue pour tous ceux qui n'ont jamais voulu quitter Microsoft Office. Elle permet d'éditer les fichiers Word, Excel et PowerPoint, ainsi que leurs équivalents OpenDocument sans perdre les utilisateurs grâce à un joli menu ruban, des menus et des raccourcis clavier d'Office.
Côté moteur, c'est celui d' ONLYOFFICE , passé par Euro-Office , le fork dont je vous avais parlé en avril. Ce dernier est conçu pour s'intégrer dans un autre produit et a déclaré travailler seulement sur des applis mobiles et de bureau , alors qu'ElixirOffice en livre déjà une, sous licence AGPL v3. L'idée vient d'ailleurs de la compagne de Gaël Duval, enseignante, qui retournait toujours à Microsoft Office parce que les alternatives libres la déroutaient.
Le projet reprend ainsi jusqu'aux détails de Word avec les mêmes onglets, la touche Alt pour les raccourcis du ruban, la mini barre d'outils, et le projet annonce même avoir repris les +200 raccourcis Word en tout cas sous Windows. Il mesure aussi la fidélité de mise en page sur un corpus de documents, version après version, pour contrôler que ça ne dérive pas et embarque des polices libres de mêmes dimensions que celles de Microsoft pour que les sauts de ligne et de page ne bougent pas.
L'éditeur de texte en français, avec le ruban façon Word et la recherche centrée en haut
Côté vie privée, il n'y a aucune télémétrie, et l'IA (dispo uniquement dans le traitement de texte pour le moment) reste éteinte tant que vous n'avez pas branché un modèle compatible OpenAI (un Ollama sur votre ordi fera l'affaire).
Il existe actuellement 2 versions d'ElixirOffice :
La version Desktop qui comme son nom l'indique est l'appli de bureau permettant d'ouvrir, éditer et enregistrer les DOCX, XLSX, PPTX, ODT, ODS et ODP. Mais également d'exporter en PDF vos documents et surtout fonctionnant hors ligne, sans compte. Cette version est dispo pour Windows, macOS (Apple Silicon uniquement), et en AppImage + .deb pour Linux.
Et la version serveur qui est en réalité une image Docker fonctionnant en HTTPS, et permettant de faire de l'édition de documents dans le navigateur, de la coédition en temps réel, et de disposer d'une connexion à un Murena Workspace ou à un Nextcloud. Notez que si vous optez pour cette version, faudra mettre en place votre propre système d'authentification ou la derrière un VPN puisqu'elle n'a pas encore de système de comptes users.
Le tableur
Voilà, c'est un chouette démarrage que je vous encourage à tester si vous êtes allergique à LibreOffice et autres forks. Maintenant en version appli de bureau, il lui manque encore le publipostage, la comparaison de documents, l'historique des versions, les fichiers protégés par mot de passe, l'ouverture et l'édition des PDF, les macros et les signatures numériques... Mais ça viendra, soyez patient.
Dernier point important pour la transparence, ElixirOffice a été lancé et supervisé par Gaël Duval mais est développé à l'aide de divers grands modèles de langage qui travaillent comme agents de code sous sa direction, avec des tests automatiques et des revues à chaque changement.
Merci à Gaël Duval pour le partage !
Source : ElixirOffice sur GitHub
La version Nintendo 64 de Command & Conquer, c'était une drôle de bestiole. Sortie en 1999 et portée par Looking Glass Studios, elle reprenait le RTS de Westwood avec des unités, des bâtiments et un terrain en vraie 3D. Pour ma part, je ne l'ai jamais testé à l'époque (moi j'étais sur PC) mais ça va pouvoir changer puisque c'est ce que le projet OpenCNC3D fait revivre sous la forme d'un programme Windows et macOS.
Pour y parvenir, le mystérieux dev qui s'occupe de ce projet, a repris la logique de jeu de Tiberian Dawn, dont EA a publié le code source sous licence GPL en 2020, puis y a collé les modèles 3D, les textures, le terrain et même la caméra à l'identique en les extrayant de la cartouche originale. Le tout est ensuite redessiné par un moteur de rendu écrit pour l'occasion, avec les menus et les sons des CD de la version MS-DOS de 1995.
Derrière ce projet se cacherait d'après les rumeurs, Frederik Schreiber , le patron de Slipgate Ironworks, le studio de Tempest Rising. C'est en tout cas ce qu'affirme le site Command & Conquer Saga, puisque le dépôt est signé freschism3000, un pseudo proche de son compte X, Freschism.
Côté contenu, vous retrouverez les 36 missions de campagne GDI et Nod, 27 missions Special Ops et 67 cinématiques d'origine, alors que la version N64 les avait tristement remplacées par des images fixes. Et il y a aussi du neuf, à commencer par le multijoueur en réseau dispo jusqu'à huit joueurs, que la cartouche n'avait pas, plus le mode escarmouche contre l'ordinateur et un éditeur de cartes.
La v0.8.0, sortie le 10 octobre dernier, ajoute également trois nouveaux rendus. Classic, c'est l'image plate en 320x200 du jeu de 1995, N64, celle de la cartouche, et Enhanced, ce sont les bâtiments refaits et peints à la main, les véhicules et les soldats remodélisés, ainsi que de l'herbe qui ondule et des bruits d'ambiance. Et vous pouvez passer de l'un à l'autre en pleine partie sans souci.
Je vous préviens quand même, maintenant que vous êtes bien hypé, le dépôt GitHub du projet , sous GPL v3, ne contient aucune donnée du jeu. Donc pour le faire tourner, vous devez en théorie fournir le dump de votre propre cartouche européenne et vos CD MS-DOS de 1995... Mais bon, comme les paquets du site, eux, livrent le jeu complet , sans la bénédiction d'EA, vous pourrez y jouer même sans ça. Oui, on est dans un genre de zone grise totale ce qui veut dire que ça pourrait, comme tout ce qui est beau dans ce monde, se faire shooter du jour au lendemain par les ayants droits.
C'est gratuit avec installeur pour Windows mais également une version universelle Apple Silicon et Intel pour macOS. Et ça tourne à 60 images par seconde jusqu'en 4K ! La vie est belle !
Un grand merci à Command & Conquer Saga pour le tuyau !
Source : Command & Conquer Saga
L’édition 2026 de la Fête des Possibles, du 11 septembre au 11 octobre, vient officiellement de se terminer. Sur 685 rendez-vous référencés partout en France et en Belgique, plus de 60 étaient en lien avec le Logiciel Libre. L'April, partenaire de la Fête des Possibles, remercie très chaleureusement touts les organisations et les personnes qui ont proposé ces événements.
La Fête des Possibles, initiée et coordonnée par le Collectif pour une Transition Citoyenne, aspire à faire prendre conscience à un maximum de citoyennes et de citoyens que des solutions existent pour vivre en meilleure santé, pour moins polluer, pour mieux vivre ensemble.
C’est aussi l'occasion de montrer que « c’est possible » d’utiliser au quotidien des logiciels respectueux de nos libertés ! C'est pourquoi l'April, partenaire de la Fête des Possibles, invite chaque année les organisations locales actives dans la promotion du Logiciel Libre à proposer des rendez-vos dans le cadre de cette initiative.
Sur 685 rendez-vous référencés dans le cadre de cette édition, plus de 60 étaient en lien avec le Logiciel Libre. Une jolie progression par rapport à 2025, quand les événements autour du Libre ont été un peu plus de 40 sur un peu plus de 750 événements.
Nous tenons à remercier très chaleureusement toutes les personnes et les organisations qui ont proposé ces événements : leur action a permis de sensibiliser de nouveaux publics à nos enjeux.
Rendez-vous l'année prochaine !
Cette revue de presse sur Internet fait partie du travail de veille mené par l’April dans le cadre de son action de défense et de promotion du logiciel libre. Les positions exposées dans les articles sont celles de leurs auteurs et ne rejoignent pas forcément celles de l’April.
✍ Guillaume Belfiore, le vendredi 9 octobre 2026.
Selon la Linux Foundation, 94% des organisations européennes jugent la souveraineté numérique importante, mais seules 37% participent à la gouvernance des projets open source dont elles dépendent.
✍ Alexandre Laurent, le mercredi 7 octobre 2026.
Dix ans après la promulgation de la loi du 7 octobre 2016 pour une République numérique, les dépenses en logiciels libres de l’administration sont toujours réduites à la portion congrue, regrette l’association représentative des entreprises du secteur. Elle appelle l’État à passer de l’encouragement à la règle, et à porter le message à l’échelle européenne.
✍ Florian Bayard, le lundi 5 octobre 2026.
Google a mis en pause son programme de récompenses pour les failles dans les logiciels open source. L’entreprise est en effet victime d’une explosion de rapports générés automatiquement par intelligence artificielle. Les primes sont suspendues jusqu’à nouvel ordre. Le groupe s’engage à annoncer des changements début 2027.
Et aussi:
Commentaires : voir le flux Atom ouvrir dans le navigateur
Si vous avez lu mon article sur QBZ , le client Qobuz open source qui permettait d'écouter sa musique en "bit-perfect" sous Linux, hé bien oubliez-le. En effet, Qobuz a demandé à son développeur d'arrêter le projet, et ce dernier n'a pas eu d'autre choix que d'obéir. Bref, le dépôt est fermé et il n'y aura plus de mise à jour.
C'est sacrément dommage je trouve...
Après la raison, comme expliquée ici par le support de Qobuz, c'est que cette application plaçait Qobuz en position "non conforme" vis-à-vis des ayants droit notamment parce que les lectures ne sont pas comptabilisées côté Qobuz, ce qui laisserait les artistes sans rémunération.
Perso, j'aime bien Qobuz et je trouve qu'ils font du super boulot, mais ils ont sacrément manqués de stratégie sur ce coup là !
Je ne sais pas si techniquement ça aurait été jouable, mais à leur place, j'aurais demandé au dev de QBZ d'intégrer mes API de mesure (en plus de lui filer un petit chèque) sans pour autant rendre proprio le code. Ou au pire, je l'aurais embauché pour faire un vrai client Linux officiel avant de laisser mourir ce projet libre, ce qui leur aurait éviter de prendre un risque avec leur image auprès de la communauté du libre.
Bref, 1/ ils se privent d'un super client Linux 2/ ils perdent un dev qui a quand même taffé durant des années bénévolement pour leurs services 3/ j'imagine qu'ils vont également perdre des abonnés payants sous Linux. 4/ Et ils prennent le risque de voir débarquer des forks de rebelles moins conciliants avec leurs services.
De mon point de vue ce n'était pas une décision très réfléchie, même si c'est vrai, ils ont été pro et courtois avec le dev de QBZ (traduction : ils ne lui ont pas mis un procès au cul).
Dommage.
REA , pour "Reverse Engineer Anything", c'est un serveur MCP qui buzze ces derniers jours et qui permet de connecter votre agent IA (Claude Code, Codex, Cursor...) sur Ghidra, Hopper ou IDA, et sur des analyseurs pour les applis Electron, .NET ou les sites web.
Vous repérez ainsi une fonction qui vous plaît dans une appli, puis l'agent la décortique sans le code source et vous en code une version toute fraiche... Tiens ça me rappelle quelque chose...
Comme je voulais voir ce que ça donnait, je me suis donc monté un petit banc d'essai à l'arrache sur mon ordi avec Claude Code en Opus 5.5, REA 6.4.0 comme seul serveur MCP et Ghidra comme moteur.
Mes tests se découpent donc en 4 exercices : un keygen, un patch, une fonction d'appli à recréer ainsi que des codes de triche. Pour les deux premiers, j'ai bien sûr compilé des programmes maison avec un faux système de licence afin de ne pas sombrer dans l'illégalité en codant un vrai keygen ou un crack (et au passage me faire delete mon compte Anthropic ^^).
rea doctor valide Ghidra 12.1.4
Mon crackme, c'est donc une fausse app nommée "PixelNote Pro" qui réclame un nom d'utilisateur et une clé d'activation, compilé pour Mac ARM.
Une fois que je lui ai dis ce que je voulais faire, l'agent a donc ouvert le binaire dans Ghidra via REA, lu le pseudo-code, l'a recoupé avec l'assembleur là où le décompilateur écrivait une rotation de bits sous une forme peu lisible, et m'a pondu un keygen en Python en 2 minutes chrono pour un coût API de Claude 50 centimes. J'ai ensuite fait tourner son générateur sur 479 noms tirés au hasard et le binaire les a tous acceptés.
Le crackme ouvert à la main dans Ghidra : la fonction entry et son pseudo-code
La boucle de calcul de la clé, dans le pseudo-code que REA sert à l'agent
Le patch, c'est le plus bluffant j'ai trouvé. Le petit utilitaire que je me suis fait a pour mission de compter les lignes et les mots d'un fichier texte. C'est très basique. Et j'ai donc voulu faire un patch pour qu'il affiche aussi les caractères. Comme REA, avec Ghidra, ne touche pas aux octets de l'exécutable, l'agent a donc dû faire le reste à la main... il a logé ses instructions dans une zone remplie de zéros de la partie exécutable, détourné trois instructions d'origine vers elles, puis re-signé le binaire pour que macOS le lance :
Le compteur d'origine, sa version patchée par l'agent, puis le keygen du crackme accepté par le binaire
Pour mon 3ème exercice, je me suis dit que j'allais cloner la fonction d' Amphetamine qui garde mon Mac éveillé tant qu'une appli donnée est ouverte. Via Ghidra, malheureusement REA a refusé le binaire universel Intel et ARM d'Amphetamine, alors l'agent en a extrait lui-même la partie ARM. Il a alors trouvé qu'Amphetamine posait une assertion d'énergie du système et surveillait la liste des applis lancées. Et magie de l'IA, il a ensuite codé en Swift un petit outil qui fait tout pareil. J'ai testé avec la Calculatrice, ça marche, à condition de lui donner le nom de l'appli dans la langue du système, ou son identifiant.
pmset ne montre l'assertion d'éveil que pendant que la Calculatrice est ouverte
Et le dernier, c'est Wolfenstein 3D (j'ai pris la version shareware 1.4) dont l'exécutable DOS est compressé. L'agent a donc écrit son propre décompresseur, puis retrouvé dans le code le raccourci clavier pour tricher (c'est M+L+I qui met santé à 100, munitions, clés, mitrailleuse... et score remis à zéro), le paramètre goobers qui, avec Maj gauche + Alt + Retour arrière, débloque les touches de debug comme le mode Dieu, et même un juke-box caché. Tout correspond au code source publié depuis par id Software.
Par contre, ses logs montrent qu'il cherchait ces codes par leur nom avant de les avoir vus. Je me suis donc fait avoir puisque le modèle les connaissait déjà. Par contre, il les a bien retrouvé dans le binaire.
Début de partie du shareware 1.4 dans DOSBox, lancé avec le paramètre goobers
Les trois occurrences de goobers dans l'exécutable décompressé
Alors, REA est-il indispensable ?
Hé bien pour le savoir, j'ai relancé les quatre exercices avec le même modèle, les mêmes fichiers et les mêmes consignes, mais avec REA en moins... juste Claude Code qui pilote Ghidra. Hé bien Claude tout nu a tout réussi lui aussi, mais en écrivant quand il en avait besoin ses propres scripts Ghidra en Java, là où REA lui servait le pseudo-code et l'assembleur sur un plateau.
Bref, ce que je peux vous dire avec mes tests, c'est que REA ne fait pas mieux qu'un Claude à qui on demande d'installer Ghidra et de l'utiliser. Par contre, REA a été plus rapide sur le keygen (2 minutes 22 contre 2 minutes 48 pour Claude), sur Amphetamine (9 minutes contre 16 minutes pour Claude) et sur Wolfenstein (10 contre 14 pour Claude), mais plus lent sur le patch (7 minutes et demie contre un peu plus de 2 pour Claude).
A voir ce que ça donnerait avec un modèle local genre Qwen (débloqué avec Heretic , alleeeez)...
REA est sous licence MIT et l'analyse tourne en local (même si ses résultats partent quand même chez le fournisseur de votre modèle, donc évitez d'y passer un binaire confidentiel), et Hopper comme IDA restent des outils commerciaux dont REA ne fournit aucune licence.
Notez aussi que son créateur exclut le contournement de licences et la fabrication de patchs pour les jeux, d'où encore une fois mon crackme fait maison et les codes qu'id a lui-même mis dans Wolfenstein ^^.
Autre précaution à prendre si vous vous lancez et qui touche cette fois à la fiabilité de ce que l'agent IA peut vous raconter : Des chercheurs ont publié fin mai un préprint montrant qu'un binaire piégé peut donner ses propres ordres à l'IA qui l'analyse . Pour cela, il suffit d'y glisser des chaînes de texte sans effet à l'exécution, qui se retrouvent ensuite dans le code décompilé et soufflent de fausses instructions au modèle, pour lui faire mal interpréter le programme. Je n'ai pas testé REA là-dessus, mais le principe vaut a priori pour tout agent branché sur Ghidra, donc faites bien attention avant de donner un échantillon suspect à votre agent IA préféré.
Et si seul Ghidra vous intéresse, sachez que le ce MCP dont je vous ai parlé en février permet aussi de faire le pont agent IA <> Ghidra.
Voilà, pour installer REA, un petit :
npx rea-agents setup
Et c'est parti !
Mercredi, c'est le jour des enfants, mais c'est surtout celui des adultes qui n'ont aucune envie de bosser !!
Alors pour ceux-là, je vous ai débusqué Ported2Browser , un annuaire qui recense +200 jeux et logiciels capables de tourner directement dans l'onglet de votre navigateur. Bref de quoi jouer sans rien installer sur l'ordi...
Vous vous baladez sur le site ou vous cherchez ce que vous voulez, vous cliquez et hop, ça se lance directement depuis le site qui héberge le portage.
Vous pouvez ainsi filtrer par plateforme (NES, Super Nintendo, Nintendo 64, GameCube, Game Boy et d'autres), par tags, ou par façon de jouer. Par là, j'entends soit au clavier et à la souris, ou la manette ou directement via l'écran tactile. Il y a même un éditeur d'images, Compositor, pour les graphistes qui n'arrivent VRAIMENT pas à décrocher de leur boulot ^^.
En tout cas ça m'a fait plaisir de retomber sur "You don't know Jack" auquel je jouais quand j'étais petit (en français). Je l'avais complètement oublié ce jeu, c'est fou !
Voilà, je vous laisse découvrir tout ça, histoire de vous détendre avant le 17 octobre ^^ !
Je pense que ça va vous plaire ! En tout cas, moi ça m'a vraiment impressionné ! Le Petit Prince parmi les étoiles , c'est un jeu en 3D qui se lance directement dans le navigateur et qui nous emmène de planète en planète tout comme dans le conte de Saint-Exupéry. Il n'y a rien à installer, et le jeu est en français, en plus de sept autres langues.
La carte du voyage en français : B-612 est ouverte, les sept autres planètes attendent
Au premier clic, la carte du voyage s'ouvre avec huit planètes, et au démarrage, seule B-612 est accessible. Le roi, l'allumeur de réverbères, le géographe et les autres attendront donc leur tour pendant que vous promenez le petit prince sur son astéroïde (après une courte cinématique où il contemple une mer de nuages), entre ses volcans et sa fleur. Votre progression, elle, reste sauvegardée dans le navigateur d'une visite à l'autre.
Sur B-612, premier objectif : faire le tour de la planète, entre la cabane et les deux volcans
L'ambiance est reposante, un peu magique et m'a bien replongé en enfance, quand je lisais cette histoire poétique et un peu bizarre ^^.
Derrière ce jeu, il y a Sac, un créateur basé à Singapour qui parle d'IA et de 3D toute la journée sur X. Dans son post de lancement , il explique avoir passé 16 jours sur ce projet avec l'aide de Claude Opus 5.5, en combinant Tripo et Blender . Mais c'est surtout Opus 5.5 qui a transformé chaque planète du conte en scène 3D totalement explorable. Il a promis aussi de publier un peu plus tard le code source du jeu et le détail de comment il a réussi à faire tout ça. Après avoir fait ce jeu pour tester les capacités de l'IA, ce qu'il pense maintenant, c'est que plus personne n'a la moindre raison de ne pas l'utiliser.
En attendant qu'on ait les détails de son making-of, en creusant un peu, ce qu'on peut déjà voir c'est que c'est un export Unity qui tourne en WebGPU (sans aucun repli vers WebGL2), découpé en lots de chapitres, et que les commentaires dans le code renvoient à des documents de conception écrits en Markdown (UI_DESIGN.md, ENGLISH_COPY.md, WEB_BUILD.md...) ainsi qu'à des scripts Python qui génèrent en l'occurrence les polices et les logos.
Maintenant, quelle part a été faite à la main, ça, on ne le saura que lorsqu'il publiera sa technique...
Mais en tout cas, si après avoir joué à ce jeu, ça vous donne envie de vous y mettre pour réaliser vous aussi le jeu vidéo de vos rêves que vous avez dans la tête depuis que vous êtes tout petit, voici ce que vous avez à votre dispo.
Tout d'abord, il vous faut des graphismes et pour cela, Tripo transformera une description texte ou une simple image en modèle 3D, surtout si vous utilisez aussi son add-on officiel pour Blender qui permet de faire ça sans quitter le logiciel (à condition d'avoir une clé API Tripo). Maintenant, si vous préférez tout garder sur votre machine, n'oubliez pas que TRELLIS de Microsoft génère lui aussi des modèles 3D, sous licence MIT, et que je vous avais présenté son portage sur les Mac Apple Silicon il y a quelques mois.
Ensuite, pour que Claude pilote Blender, il y a MCP for Blender , l'ex-blender-mcp. L'IA y écrit elle-même le Python de Blender pour la modélisation, les matériaux, l'animation, le rig et la retopologie, et le serveur lui ajoute Poly Haven, Sketchfab ainsi que la génération 3D par Tripo ou Hyper3D Rodin (il propose aussi Hunyuan3D, mais la licence de Tencent exclut l'Union européenne, donc à voir ce qu'on fait de ça chez nous...).
Côté moteur, Unity a déclaré obsolète le serveur MCP intégré à son éditeur au profit du Unity CLI , gratuit et indépendant de son offre Unity AI, qui sait configurer Claude et installer des skills Unity pour votre agent.
Ça donne ceci si vous voulez l'installer. Ça commence par Blender d'abord, et puis Unity :
uvx mcp-for-blender setup
unity pipeline install
unity mcp configure claude
unity skill install <agent-name>
Ensuite, pour sortir le jeu et qu'il tourne dans le navigateur, sachez que le WebGPU d'Unity n'est plus expérimental depuis Unity 6.6 , mais qu'il faut encore l'ajouter vous-même aux API graphiques du lecteur Web. Quant au chef d'orchestre, Claude Code, comme vous le savez, c'est payant et inclus dès l'abonnement Pro de Claude , à 20 balles par mois.
Après, le hic, c'est ce WebGPU obligatoire car le jeu exige Chrome ou Edge 113 et plus, Safari 26, ou Firefox 141 sous Windows et 145 sur les Mac Apple Silicon. Et sous Linux (si j'en crois le suivi du W3C ), Chrome ne l'active d'office qu'avec un GPU Intel récent ou une carte NVIDIA sous Wayland, et Firefox seulement en Nightly.
Donc si l'écran vous dit que votre navigateur n'est pas compatible, séchez vos larmes et essayez depuis un Mac ou un PC Windows.
Et puis si l'envie vous prend d'adapter un autre classique à votre tour, choisissez-le bien, puisque le texte de Saint-Exupéry reste protégé en France jusqu'en 2032 et que ses héritiers exploitent le nom et les personnages comme étant des marques . Du coup, y'a des chances que Little Prince, le jeu, saute rapidement.
La rose va être bien triste encore...
Source : littleprince.dev
xboxrecomp est un outil de recompilation qui vient de voir le jour et qui devrait vous intéresser si vous êtes nostalgique de la première Xbox. En effet, ce dernier prend l'exécutable d'un jeu de la Xbox originale, traduit chacune de ses fonctions x86 en code C, puis recompile le résultat en programme Windows 100% natif. Cela veut dire que le jeu ensuite peut tourner directement sur votre ordinateur, sans faire appel à un interpréteur ni à un émulateur. C'est ce qui s'appelle de la recompilation statique, et je vous en parle régulièrement parce que je trouve ça assez magique (rappelez vous de Zelda 64 recompilé ).
Le dépôt de xboxrecomp ne contient évidemment aucun fichier de jeu pour ne pas s'exposer au courroux des ayants-droits. Vous devez donc avoir votre propre disque, en extraire le default.xbe, et la chaîne d'outils (du Python avec capstone, puis Visual Studio 2022 pour compiler) génèrera chez vous tout le code C du jeu. Pas de bouton magique, par contre, le premier lancement d'un jeu recompilé plantera et ensuite, ça avancera crash après crash. Notez que ce projet s'est construit avec Claude Code également.
Pour le moment, le seul jeu qui va au bout de sa recompilation, c'est Burnout 3: Takedown. Tous les modes démarrent et se jouent, seul ou à deux, mais les menus tournent à environ 14 images par seconde et les courses à 2 à 4 FPS sur une machine à 12 cœurs. Y'a pas non plus de possibilité de faire des sauvegardes et c'est manette obligatoire. Bref, c'est pas encore très jouable.
En fait le problème c'est le GPU de la Xbox (le NV2A) qui est émulé en logiciel, et c'est malheureusement ça qui fait chuter les FPS. Le "No emulation" du slogan ne vaut donc que pour le processeur, mais pas les morceaux audio ni le GPU repris de xemu. Mais ça changera peut-être bientôt.
Maintenant, si vous cherchez un jeu Xbox précis à installer, regardez plutôt du côté de SCDA-XBERecomp , qui est l'inverse de xboxrecomp. C'est n'est pas un outil universel mais une recompilation uniquement du jeu Splinter Cell: Double Agent. Celui-ci réimplémente le noyau, Direct3D et DirectSound côté Windows, et vous laisse régler le champ de vision ou lever la limite de 30 images par seconde.
Et si vous voulez juste rejouer à vos jeux Xbox ce soir, un émulateur comme xemu fera très bien comme d'hab.
Moi de mon côté, j'avance toujours sur mon recompilateur universel de ROMs Kompote et ça marche vraiment très bien. Là je suis en train d'implémenter le support des jeux Amiga... je pense que dans quelques jours, ce sera cuit à point.
Source : xboxrecomp sur GitHub
Hier, GitLab a publié en urgence les versions 19.4.2, 19.3.5 et 19.2.8 pour corriger une faille un peu chaude avec un score CVSS de 10 sur 10 . Référencée sous le code CVE-2026-97229, elle permet à quelqu'un sans compte user d'exécuter du code sur le serveur en glissant tout simplement une expression régulière piégée dans une configuration CI/CD.
GitLab précise que cela ne peut se faire que "sous certaines conditions" sans préciser lesquelles, et il ne dit pas non plus comment un inconnu pourrait faire lire sa config CI forgée par une instance. Gitlab mentionne une histoire de dépassement d'entier dans le compilateur de regex du CI/CD et d'une validation insuffisante des expressions mais on n'a pas les détails techniques qui sortiront dans environ 90 jours. C'est habituel pour laisser le temps à tout le monde de patcher.
Ces dernières semaines, ça enchaine fort ( un peu comme Citrix ) avec fin septembre, la 19.4.1 qui corrigeait déjà deux autres faille sur le même terrain : CVE-2026-93577, pour un dépassement d'entier dans le compilateur, et CVE-2026-89078, pour un double free dans l'analyseur de regex. Notées 9,9 toutes les deux et signalées par le même chercheur (joaxcar), mais celles-là exigeaient au moins un compte. Et la troisième faille (la CVE-2026-85706) découverte aussi courant septembre, était quand a elle aussi notée 10 sur 10 et permettait de lire les fichiers présents sur le serveur sans avoir de compte.
Alors qui est concerné ?
Hé bien toutes les instances auto-hébergées en 19.2 avant la 19.2.8, en 19.3 avant la 19.3.5 et en 19.4 avant la 19.4.2. Une 19.4.1 installée fin septembre n'est donc pas à l'abri. Le service GitLab.com en lui-même est déjà à jour et les clients serveur dédié n'ont rien à faire. Mais pour les autres, l'alerte de sécurité ne mentionne aucun contournement / fix. Faut juste mettre à jour et basta.
Sur une instance mono-nœud, prévoyez donc une coupure, parce que ce correctif embarque des migrations de base qui exigeront un reboot.
Voilà, maintenant que vous êtes au jus, c'est le moment de patcher !!
Source : BleepingComputer .
