…même Libé ne l’a pas osée, celle-là

du lundi 19 octobre 2026

Sous les frigos, la MàJ

Il est là. Il est posé en haut à droite d’une fenêtre, à côté de l’horloge du système ou sur l’icône d’une app. Parfois ce n’est qu’un petit point rouge, d’autres fois, c’est un vrai bouton complet qui se présente clairement. Il est détesté, alors qu’il ne vous veut, dans l’immense majorité des cas, que du bien.

Le bouton de mise à jour.

Il a fait l’actu, ce bouton. En début de semaine dernière, des centaines de supermarchés (plus de 400 !) ont vu la quasi-totalité de leurs surgelés et produits frais se périmer le temps d’une nuit. Les frigos qui les contenaient sont soudainement passés en mode dégivrage, avec des températures positives de l’ordre de 50°C. À moins de vouloir déguster sur place des centaines de pommes noisettes, tout part à la poubelle… et ce sont des dizaines de millions d’euros de pertes pour de nombreux magasins (dont des franchisés), qui sont en plus mal assurés contre les cyberattaques.

Cyberattaques ? Eh oui : tous ces frigos étaient reliés à des boîtiers de contrôle connectés d’une marque complètement inconnue du public mais qui semble être le leader du marché de la réfrigération en Europe. Quand je parle de « boîtiers connectés », je pèse mes mots : ils étaient connectés directement à l’Internet public, avec une simple interface d’authentification. Vous m’avez bien lu : vous avez besoin de vous connecter avec un VPN ultra-sécurisé avec double authentification pour notifier votre responsable d’une absence, mais les systèmes qui gèrent les frigos de centaines de magasins ont des adresses IPs publiques, yolo, écoutez ma bonne dame, ça permet de faire des économies en maintenance à distance.

Et quand, en août dernier, les détails d’une faille dans ces boîtiers (corrigée dans un patch depuis un an) ont été rendus publics, ce sont des milliers de frigos qui sont devenus vulnérables à une attaque. Les frigoristes qui bossent avec ces supermarchés n’ont visiblement pas lu les e-mails de leurs fournisseurs les invitant à mettre à jour ou à remplacer leurs appareils. Et crac.

La question des mises à jour, c’est une question de « santé publique du numérique ». Normaliser le fait de ne pas mettre à jour ses logiciels en partageant votre écran avec ce bouton encore affiché, c’est envoyer le signal que les mises à jour, c’est du superflu, de l’anecdotique, un truc qu’on peut remettre à plus tard. Je n’ai pas besoin de vous rappeler à quel point les failles se découvrent désormais à la pelle, et que si les mises à jour sont plus fréquentes que jamais, ça n’est pas pour le fun de faire transiter des logiciels sur le réseau.

La prochaine fois que vous prendrez votre pause café, pensez à cliquer juste avant sur le bouton de mise à jour de votre navigateur. Les développeurs et développeuses qui s’activent à corriger la toute dernière faille béante datant d’un vieux bout de code en C vieux de 15 ans méritent ce petit effort, et vos données aussi.

Les 5 tabs

Aujourd’hui, on parle d’être au bon endroit au bon moment, de comment on définit un bon moment, de comment on sait que ça n’était qu’un moment dans le temps, de comment passer un bon moment, et enfin, comment s’assurer qu’une mouette était au mauvais endroit au mauvais moment.

• Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers
  Bon, revenons un peu sur cette affaire de boîtier de gestion de frigo. La faille avait été corrigée l’année dernière, mais elle avait été trouvée par « Team82 », une équipe de recherche de Claroty, une boîte spécialisée dans la protection des infrastructures industrielles (jusque là, rien d’étonnant). Ce qui est fou, c’est que la faille venait du fait qu’il était possible de se connecter directement aux systèmes sans utiliser le couple nom d’utilisateur / mot de passe, mais avec un accès caché (arghh) qui permettait de se connecter quand même à l’interface d’administration avec un « code du jour ». Il aura suffit à l’équipe de casser l’algorithme qui permet de générer ce fameux code, et hop, accès à tous les systèmes concernés. Le post est assez complet pour permettre de comprendre l’ampleur de la faille, et même si Danfoss, le fournisseur des boîtiers, répète à qui veut l’entendre qu’il s’agissait de logiciels et de matériels obsolètes, tout ça ne semble pas très sérieux.

• TDateTime (documentation de FreePascal)
  On parle parfois de « connaissance maudite » (cursed knowledge) dans notre métier ; vous savez, c’est le genre de chose qu’on aurait peut-être jamais aimé connaître tant ça semble improbable. À ce sujet, avez-vous déjà manipulé des dates et des heures en langage Pascal ? Surprise : c’est stocké via… un nombre flottant. Pas si surpris que ça ? Ah oui pardon, j’ai oublié un autre élément clé : ce nombre flottant représente un nombre de jours. Sachant que dans l’immense majorité des systèmes, on stocke une information de date soit sous forme de chaîne de caractères standardisée soit sous forme de secondes écoulées depuis le 1er janvier 1970, l’idée d’utiliser comme unité le nombre de jours écoulés depuis le 1er janvier 1900 puis de pousser le vice jusqu’à faire des calculs avec la partie décimale (une heure = 1/24ème de jour, etc.) va hanter quelques prochaines nuits cauchemardesques.

• Claude reveals ECDSA curve origins
  C’est la fin d’une « théorie du complot » dans nos milieux : non, la NSA n’a pas choisi à mauvais escient les paramètres des courbes elliptiques très utilisés sur Internet. Je ne vais pas essayer de vous expliquer en détail comment marche la cryptographie basée sur ces courbes (je n’ai jamais vraiment bien compris comment ça marchait, ou du moins, j’ai adoré qu’on me l’explique, avant de l’oublier dans la minute…) mais j’avais entendu vaguement parler d’un questionnement de longue date de savoir si cette technologie avait été « noyautée » par la NSA via des paramètres qui auraient été choisis pour être vulnérables. Ça fait un bail que les gens en doutent, et il y avait même une prime à celui ou celle qui arriverait à trouver la source de ces paramètres, et des chercheurs d’Anthropic ont réussi à retrouver la manière dont ces paramètres ont été générés à l’époque, à la fin des années 90. Ils donnent la prime à l’organisme non-lucratif qui gère Let’s Encrypt, et si le sujet vous intéresse je vous recommande aussi la lecture de la conclusion de Filippo Valsorda, qui avait lancé ce challenge !

• (not) solitaire, massively passively multiplayer solitaire
  Vous aimez jouer au Solitaire ? Vous aimeriez bien vous sentir moins seul à jouer au Solitaire, sans pour autant qu’on perturbe votre partie de Solitaire ? Bref, vous avez envie de jouer au Solitaire aux côtés d’autres gens, davantage qu’avec d’autres gens. Eh bah « (not) solitaire » est fait pour vous : vous avez une jolie interface pour jouer au solitaire, mais vous êtes entourés d’autres parties qui se font en direct en même temps que vous. Pas beaucoup d’autres fioritures (y’a des succès rigolos basés sur ce qui se passe), c’est vraiment le Solitaire que vous avez toujours connu, mais où vous n’êtes plus Solitaire. C’est fait par les gens super de chez Puzzmo, et j’ai envie de dire : bravo à tous.

• Is the seagull video real?
  J’aime beaucoup les vidéos verticales de JeremyFindsAI sur YouTube : elles vont droit au but, en expliquant pourquoi une vidéo est clairement une vidéo générée par IA (et pourquoi), ou pourquoi au contraire elle semble réelle. Sauf que là, il est bien embêté : ça ressemble vraiment à une véritable coïncidence, tout en étant franchement improbable. Ses explications sont intéressantes, mais cependant, trigger warning : vous verrez en boucle la fin de vie accidentelle d’une superbe mouette qui était au mauvais endroit au mauvais moment. RIP :(

Le changelog

Cette semaine, un peu moins de liens que d’habitude, mais de quoi normalement lire pour votre pause déjeuner, ce qui est déjà pas mal.

• AI is mass decompiling games. That's both awesome and scary.
  Cet article de Popcar, un développeur de jeu vidéo, est intéressant sur plein d’aspects : quel sera l’impact de ces décompilations de jeux vidéo qui se multiplient ? Est-ce que le fait de pouvoir décompiler puis recompiler la version originale de The Binding of Isaac, celle en Flash à l’époque, sous la forme d’une version capable de tourner en 1440p 165fps sur un PC moderne, en quelques jours, va changer radicalement le rapport au retrogaming, et aussi au gaming actuel, avec des portages non-officiels écrits en quelques jours ? Vertigineux.

• Discussions autour de « The AI Pascal’s Wager »
  Autant je trouve l’article original de Ploum assez peu inspiré (c’est une fausse dichotomie assez classique sur l’utilisation de l’IA, poussant à un rejet total et surtout transitif de ces outils, ce qui un peu vu et revu, même si sincère), autant je trouve les discussions qui se sont déroulées sous le partage de cet article sur Lobsters assez intéressante, au moins de vouloir vous la partager.

• SequenceHash: multihashing for the rest of us
  Ça vous ai peut-être déjà arrivé, et si ça n’est pas le cas ça vous arrivera peut-être si vous êtes dans le développement informatique : vous avez besoin de faire une empreinte (hash) de plusieurs données. Si vous avez en tête de les rassembler ensemble avec un bon vieux join des familles, arrêtez tout et lisez plutôt ce post de blog.

• We Have Named Arguments at Home
  Je termine une fois n’est pas coutume par deux liens parlant de Rust ; ce premier, écrit par Matthias Endler de l’agence Corrode, explique comment malgré l’absence « officielle » de paramètres nommés en Rust, il y a déjà largement de quoi se débrouiller avec ce qui est déjà à notre disposition.

• Rusty thoughts on « Parse, don’t validate »
  Et enfin, un article sur l’application (et les limites) en Rust de la fameuse pratique du « Parse, don’t validate », qui signifie de vérifier toutes les contraintes très tôt dans un programme en les encodant dans le type que l’on manipule.

Quoi de neuf chez Stan ?

Je ne vous étonnerai sans doute pas en vous disant que je n’ai pas réussi à toucher une ligne de Tempoquiz (après tout, c’est récurrent depuis la rentrée, mon incapacité chronique à me replonger dedans…), mais j’ai réussi à passer un peu de temps à essayer d’améliorer l’interface qui me permet d’écrire ces lignes, c’est déjà ça. Et du repos, aussi, histoire de me préparer à un hiver et surtout un printemps plein de rebondissements.

Je continue sinon de travailler avec les gens de chez OSRD, à pousser des pixels pour permettre à des gens de mieux organiser les trains entre eux sur les lignes du monde entier. Ça me plaît toujours autant, et ils semblent toujours contents de mon boulot, donc ça me semble être une affaire qui marche !

Au fait, vous avez peut-être vu passer l’info cet été, mais la CNIL a demandé à tous les expéditeurs d'e-mails de préciser s’ils utilisaient des pixels de tracking, et de permettre aux destinataires de désactiver et de supprimer leurs traces. Je suis un peu en retard là-dessus, et je compte vous proposer un moyen d’opt-out (désolé du retard), mais oui, depuis le début, le logo de la newsletter en haut me permet de savoir que vous êtes au moins 80 % de lecteurs et de lectrices à ouvrir chaque édition ! Vous savez tout, et vous aurez bientôt un lien pour que mon système de suivi fait maison ne note plus le fait que vous chargiez cette image. Merci de votre compréhension et surtout de votre fidélité :)

Exceptionnellement, il n’y aura pas de stream la semaine prochaine, pour des raisons professionnelles qui me réjouissent beaucoup ; ça n’est que partie remise. Pas comme les mises à jour de vos logiciels, hein ? Allez, on dit qu’on fait comme ça.

À très vite,

— Stan (@signez.fr)