.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
Shai-Hulud ressuscite après 111 jours
Une charge utile de ver Shai-Hulud connue est restée inactive pendant 111 jours, avant d'être republiée sur npm, passant outre l'analyse des logiciels malveillants censée la détecter.
Correctif StyleSmuggler : patcher la RCE de Magento et Adobe Commerce
StyleSmuggler est une RCE non authentifiée touchant Magento et Adobe Commerce, sans CVE ni correctif d'Adobe pour le moment. Aikido propose déjà la solution.
MECCHA CHAMELEON ne peut pas se cacher de la RCE
Nous avons découvert une deuxième RCE différée dans MECCHA CHAMELEON : une carte personnalisée malveillante pouvait écrire des fichiers n'importe où sur votre système et exécuter du code après un redémarrage. Désormais corrigé dans la version 4.0.0.
Un générateur de code populaire pour TanStack Query touché par un ver de la chaîne d'approvisionnement
Un ver de la chaîne d'approvisionnement a été découvert dans @7nohe/openapi-react-query-codegen, un générateur de code populaire pour TanStack Query. Il vole des identifiants et se propage à tous les paquets gérés par la victime.
Les crates Rust populaires arrayref, append-only-vec et internment compromises lors d'une attaque de la chaîne d'approvisionnement
Une attaque de la chaîne d'approvisionnement a compromis des crates Rust populaires, arrayref, append-only-vec et internment, en injectant une dépendance vers le paquet malveillant proc-macro1 qui télécharge et exécute une charge utile distante lors de la compilation.
Encore un RCE à Gogs, mais cette fois-ci, c'est corrigé !
CVE-2026-52813 | Un agent de pentest d'Aikido a signalé une vulnérabilité de traversée de répertoire (path traversal) dans Gogs. Nous l'avons transformée en RCE complète et avons signalé deux autres bugs, tous corrigés dans la version 0.14.3.
Keyv et ses amis ont été victimes d'une attaque active de type « Shai-Hulud » visant la chaîne d'approvisionnement
Le malware Mini Shai-Hulud a été injecté dans keyv et huit packages npm associés le 4 août 2026, après qu'un attaquant a compromis le compte GitHub du mainteneur
Le rêve fiévreux d'Anthropic : le paquet de Claude qui a volé de vraies clés
Anthropic a révélé qu'un agent avait poussé de vrais malwares sur PyPI. Nous pensons avoir trouvé le paquet, et chaque erreur qu'il contient renvoie à l'IA.
Découverte de huit vulnérabilités de haute gravité dans NodeBB en six heures
Huit vulnérabilités de haute gravité dans NodeBB, découvertes par notre AI Pentest en six heures. Analyse technique complète des chaînes de cross-site scripting, des contournements d'authentification et du détournement de posts.
SleeperGem : une attaque de la chaîne d'approvisionnement RubyGems cible des comptes de mainteneurs dormants
SleeperGem : deux comptes de mainteneurs RubyGems dormants ont été piratés pour injecter des malwares dans des gems de confiance, l'un d'eux comptant plus de 500 000 téléchargements au total
RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL
Le cœur de WordPress présente une RCE non authentifiée (wp2shell), confirmée comme injection SQL. Mettez à jour vers la version 7.0.2 ou 6.9.5 dès maintenant, avec des mesures d'atténuation si vous ne pouvez pas encore appliquer le correctif. Bloquez la classe d'attaque à l'exécution avec Aikido Zen.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
