Tools This Week : 6 novembre 2026 - OpenSSH 10.6p2

La liste Tools This Week de cette semaine compte sept outils pour développeurs, dont deux versions de sécurité à installer maintenant. OpenSSH 10.6p2 ferme un contournement de mot de passe sur les systèmes de type Alpine, et Better Auth 1.7.16 corrige 12 avis de sécurité. Fedora 45 est sorti, KDE a montré un nouveau terminal appelé Kwi et Google a baissé le prix de son modèle vidéo. Deux grands modèles sont aussi arrivés, l'un utilisable dès aujourd'hui et l'autre sous forme de poids bruts. Cette édition couvre la période du 31 octobre au vendredi 6 novembre.

Les outils de la semaine en un coup d'œil

Outil	Ce qu'il fait	Prix
OpenSSH 10.6p2	Version de sécurité SSH avec un contournement du bug de mot de passe	Prix non indiqué
Better Auth 1.7.16	Bibliothèque d'authentification TypeScript, 12 correctifs de sécurité	Prix non indiqué
Fedora Linux 45	Nouvelle version de Fedora avec Stratis dans l'installateur	Prix non indiqué
Kwi	Terminal KDE construit sur libghostty-vt de Ghostty	Gratuit ; GPL et LGPL
Gemini Omni 1.2 Flash	Modèle de génération vidéo avec des clips de 15 secondes	0,07 $ par seconde de vidéo 720p
Inkling 2 Small	Modèle de 594 milliards de paramètres sur la plateforme Tinker	Prix non indiqué
ERNIE 5.5 Flash Base	Modèle de base de 280 milliards de paramètres aux poids ouverts	Licence de modèle propre à Baidu

Versions de sécurité

OpenSSH 10.6p2 est sorti le 5 novembre. Ses notes de version parlent d'un « contournement de sécurité critique » pour une faille d'authentification par mot de passe dans sshd, le serveur SSH. La faille touche les systèmes Linux compilés avec musl libc et où PAM, le système de connexion courant, est désactivé. Alpine Linux en est l'exemple le plus connu. La version autorise aussi le schéma de signature post-quantique ssh-mldsa44-ed25519 pour les autorités de certification. Les mainteneurs disent recevoir beaucoup de rapports de sécurité, souvent faits avec l'aide de l'IA, et vont publier plus souvent pour l'instant. Voyez notre article sur OpenSSH 10.6p2 pour savoir qui est exposé.

Better Auth, une bibliothèque d'authentification pour les applications TypeScript, a publié la 1.7.16 le 3 novembre, ainsi que la 1.8.0-beta.5 pour la branche bêta. Elle corrige 12 avis : un critique, deux élevés, huit moyens et un faible. Le critique concerne le plugin Expo, où un proxy d'autorisation peut signer des valeurs qu'il n'a pas émises. Les deux élevés permettent de revendiquer des numéros de téléphone avant leur vérification. Ils permettent aussi à la connexion de bureau Electron de renvoyer le secret du serveur et de sauter l'authentification à deux facteurs. Le projet conseille de mettre à jour better-auth et tous les paquets @better-auth ensemble, et certains correctifs de plugins demandent aussi un changement de configuration.

Systèmes et terminaux

Fedora Linux 45 a été annoncé le 3 novembre. Le partitionnement personnalisé de l'installateur peut désormais créer des pools et des systèmes de fichiers Stratis, et les fichiers kickstart gagnent une option --type=stratis. Les plugins NetworkManager-vpnc et NetworkManager-fortisslvpn sont retirés. Le changement que la plupart des développeurs remarqueront est RPM 6.1, qui refuse les paquets non signés. Voyez notre article sur Fedora 45 pour l'erreur et les solutions.

Kwi est un nouveau terminal pour KDE Plasma et d'autres bureaux, construit sur libghostty-vt, le cœur de terminal du projet Ghostty. Il n'a pas encore de version stable, mais un Flatpak quotidien est disponible. Sa compilation demande Qt 6.10 ou plus et libghostty-vt 1.4.0 ou plus. Son développeur annonce une vitesse de 3 à 35 fois celle de Konsole, comme l'explique notre article sur Kwi.

Modèles d'IA

Gemini Omni 1.2 Flash de Google DeepMind, sorti le 5 novembre, crée et modifie des clips vidéo de 3 à 15 secondes, contre 10 secondes au plus pour Omni 1.1. Google annonce des prix 30 % plus bas, à 0,07 $ par seconde en 720p. On peut faire un brouillon en 360p ou 720p, puis le passer en 1080p ou en 4K. Le modèle est disponible pour tous dans l'API Gemini et sur Google Cloud.

Thinking Machines Lab a publié Inkling 2 Small le 5 novembre. C'est un modèle à mélange d'experts de 594 milliards de paramètres, dont 17 milliards sont actifs pour chaque requête. Il obtient 72,1 % sur DeepSWE v1.1, un test de programmation, selon l'entreprise. On peut l'utiliser dès maintenant via sa plateforme Tinker. Les poids complets doivent suivre après des tests de sécurité externes, sous licence Apache 2.0.

Baidu a publié ERNIE 5.5 Flash Base le 5 novembre, avec 280 milliards de paramètres, dont 14 milliards actifs par token. C'est un modèle de base, le point de contrôle à la fin du pré-entraînement, donc fait pour l'ajustement fin et non pour discuter. Il a été entraîné sur 33,5 billions de tokens et accepte un contexte d'un million de tokens pour l'ajustement fin et l'inférence. Les poids sont fournis en FP8 et BF16 sous l'ERNIE 5.5 Flash Base Model License Agreement v1.0.

Ce que cela signifie pour les développeurs

• Corrigez d'abord SSH sur les images Alpine. Si un conteneur ou un serveur fait tourner l'OpenSSH d'Alpine avec les connexions par mot de passe activées, mettez-le à jour et redémarrez-le.
• Mettez à jour tous les paquets Better Auth d'un coup. Des versions mélangées de better-auth et de ses plugins peuvent laisser un cœur corrigé à côté d'un plugin non corrigé.
• Testez Fedora 45 avec vos propres dépôts. Les RPM locaux et les dépôts tiers non signés sont là où RPM 6.1 vous arrêtera.
• Chiffrez Omni 1.2 Flash clip par clip. Multipliez la durée de chaque clip par 0,07 $ en 720p. Prévoyez l'upscaling à part, car le billet de Google ne donne pas son prix.
• Lisez la licence d'ERNIE avant de bâtir dessus. La fiche du modèle nomme le contrat, mais n'indique pas ses conditions d'usage commercial.

Un outil s'en va au lieu d'arriver : Conductor Cloud ferme le 20 novembre, comme l'explique notre article sur Conductor. L'édition précédente est Tools This Week : 30 octobre 2026. La liste actuelle se trouve toujours sur la page Tools This Week.