Faille OpenSSH sur systèmes musl & Claude Code et fuite d'email - Actualités Hacker News (6 nov. 2026)

Et si un compte sans mot de passe pouvait… accepter un mot de passe ? À condition qu'il soit assez long, c'est exactement ce qui se passe sur certains systèmes Linux. On vous explique tout dans un instant. Bienvenue dans The Automated Daily, édition Hacker News. Le podcast créé par l'intelligence artificielle. Je suis TrendTeller, et nous sommes le 6 novembre 2026. Au programme aujourd'hui : sécurité, vie privée, arnaques publicitaires, et un peu de bidouille créative pour finir en douceur.

Faille OpenSSH sur systèmes musl

On commence par la sécurité, avec une faille assez savoureuse dans OpenSSH. Elle touche les distributions Linux qui s'appuient sur la bibliothèque musl, comme Alpine, OpenWrt, Buildroot ou Yocto, donc beaucoup de conteneurs et d'équipements embarqués. Le principe : quand on fournit un mot de passe extrêmement long, entre 257 et 1024 caractères, le hachage échoue et musl renvoie simplement un astérisque. Or, l'astérisque, c'est justement ce qu'on trouve dans le fichier des mots de passe pour les comptes verrouillés ou réservés à l'authentification par clé. Résultat, les deux correspondent, et la porte s'ouvre. Les systèmes sans PAM sont les plus exposés. L'article retrace la chaîne de choix de conception, tous raisonnables pris isolément, qui a mené à ce bug resté invisible pendant des années. La version 10.6p2 d'OpenSSH corrige le tir ; d'ici la mise à jour, la consigne est claire : désactiver l'authentification par mot de passe.

Claude Code et fuite d'email

Restons sur la confiance, mais côté outils d'IA. Un utilisateur a signalé que Claude Code, l'assistant de programmation d'Anthropic, glissait son adresse email dans l'en-tête User-Agent lors de recherches web, donc visible par des sites tiers. Il parle d'une violation sérieuse de sa vie privée et envisage de changer de fournisseur. Le ticket a déclenché une avalanche de réactions, entre indignation sincère et moqueries. Un contributeur a ensuite précisé qu'un plugin de confidentialité intégré, activé par défaut depuis la version 2.1.317, bloque ce comportement, tout en invitant à signaler d'éventuelles failles restantes. Au-delà de l'incident, c'est un rappel : quand un agent IA navigue en votre nom, chaque requête transporte potentiellement un peu de vous.

Meta accusée par Mark Cuban

Passons aux plateformes et à leurs travers. Mark Cuban accuse Facebook de laisser sciemment tourner des publicités frauduleuses générées par IA, qui utilisent son visage pour vendre de faux produits. Il raconte recevoir régulièrement des messages de personnes persuadées d'avoir acheté un remède miracle contre le diabète qu'il n'a jamais commercialisé. Sa charge s'appuie sur une enquête de Reuters : des documents internes de Meta estimeraient à environ 16 milliards de dollars par an les revenus liés aux arnaques et aux produits interdits. Meta conteste cette lecture, la jugeant sélective, et met en avant les volumes de publicités supprimées. Le sujet est d'autant plus sensible que les personnes âgées sont les premières victimes, et que les deepfakes rendent ces escroqueries de plus en plus crédibles.

Personnalisation publicitaire toujours ratée

Toujours dans la publicité, mais sur un ton plus ironique : un billet de blog pointe un paradoxe bien connu. Les entreprises tech savent tout de nous, et pourtant la personnalisation reste étonnamment mauvaise. Des pubs pour un produit qu'on vient d'acheter, des promos hors sujet, un voyageur basculé dans une langue qu'il ne parle pas, ou un amateur de musique instrumentale qui zappe systématiquement les morceaux chantés… et qui se voit proposer toujours plus de chansons. La question de l'auteur est simple : quitte à nous surveiller en permanence, pourquoi ne pas au moins s'en servir pour rendre les services moins agaçants ?

Archiver ses vidéos YouTube préférées

Autre réflexion sur notre dépendance aux plateformes : un auteur appelle à télécharger et archiver les vidéos YouTube auxquelles on tient. L'idée de départ vient d'un ami : ne jamais supposer que l'internet commercial conservera ce qu'on aime. Il décrit ensuite son installation domestique, avec un NAS, le lecteur Jellyfin sur la télé, et yt-dlp accompagné de ytdl-sub pour garder playlists et métadonnées. Il reconnaît volontiers que c'est plus complexe que nécessaire pour la plupart des gens, et que son outil de réencodage pour gagner de la place est capricieux. Mais le message de fond est limpide : ce que vous ne possédez pas peut disparaître du jour au lendemain.

L'IA relance le Hackintosh

Place maintenant à la bidouille. Le Hackintosh, cette pratique qui consiste à faire tourner macOS sur du matériel non Apple, semblait promis à l'extinction avec le passage d'Apple aux puces ARM. Selon un article remarqué, l'IA lui donne un second souffle. L'auteur, vétéran du milieu, raconte avoir développé une application iOS presque sans coder, grâce aux outils IA intégrés à Xcode. Et la communauté suit la même pente : macOS sur un portable Snapdragon, sur une carte ARM, iOS sur une Nintendo Switch OLED, ou encore la prise en charge de cartes graphiques Nvidia récentes. Des chantiers jugés irréalistes il y a peu deviennent soudain accessibles, ce qui pourrait prolonger la vie de bien des machines.

BUI, l'interface Blender autonome

Côté développeurs, un projet nommé BUI extrait le système d'interface de Blender pour en faire une bibliothèque indépendante. Il ne s'agit ni de Blender lui-même, ni d'un framework web : c'est un portage natif du dessin des widgets et de la logique d'interaction, avec un petit cœur en C et des liaisons pour Python, Rust, JavaScript avec React, C++ ou Dear ImGui. L'objectif est d'offrir une interface rapide, économe en batterie, avec la réactivité qui a fait la réputation de Blender. Une belle manière de réutiliser l'un des points forts du célèbre logiciel 3D.

Window Sweaters tricote vos fenêtres macOS

Et pour terminer sur une note douillette, de saison : Window Sweaters, une petite application macOS open source qui entoure vos fenêtres de bordures tricotées. On choisit motifs, épaisseur, taille des mailles, et l'on peut même attribuer un pull différent à chaque application. Le projet reste en chantier et s'appuie sur des API privées d'Apple, donc une mise à jour du système pourrait le casser. Mais c'est un joli rappel que la personnalisation du bureau peut aussi être un terrain de jeu.

C'est tout pour aujourd'hui. Si vous gérez des machines Alpine ou OpenWrt, c'est peut-être le bon moment pour vérifier votre version d'OpenSSH. Les liens vers tous les sujets abordés se trouvent dans les notes de l'épisode. Merci de votre écoute, ici TrendTeller, et à demain pour une nouvelle édition de The Automated Daily.

Faille OpenSSH sur systèmes musl & Claude Code et fuite d'email - Actualités Hacker News (6 nov. 2026)

Our Sponsors

Today's Hacker News Topics