.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
Les clés API Google continuent de fonctionner après leur suppression
La suppression d'une clé API Google ne la révoque pas immédiatement. Nos tests ont révélé des authentifications réussies jusqu'à 23 minutes après la suppression, et Google a refusé de corriger ce problème.
Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub
Une extension VS Code piégée a compromis GitHub hier, un jour après que Nx Console (2,2 millions d'installations) ait été compromise pendant 18 minutes sur le Visual Studio Marketplace et ait atteint tous les utilisateurs ayant activé la mise à jour automatique.
GitHub compromis via une extension VS Code malveillante : pourquoi les appareils des développeurs sont la véritable cible
GitHub a confirmé qu'une extension VS Code empoisonnée avait compromis l'appareil d'un employé, exposant 3 800 dépôts internes. Pourquoi les postes de travail des développeurs sont désormais la principale cible de la chaîne d’approvisionnement.
Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !
Trois versions progressivement compromises d'un package Python lié à Microsoft livrent un infostealer complet qui se propage via AWS et Kubernetes, exfiltre toutes les informations d'identification cloud qu'il peut trouver, et efface les disques sur les systèmes israéliens et iraniens
Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv
Le ver npm Mini Shai-Hulud a frappé les packages @antv d'Alibaba, echarts-for-react et timeago.js. La charge utile dérobe les secrets CI/CD, implante des backdoors dans VS Code et Claude Code, et se propage en republiant des packages compromis. Voici ce qui s'est passé et comment protéger votre équipe.
Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack
Mini Shai-Hulud est de retour, compromettant 169 paquets npm de TanStack, UiPath, Squawk et d'autres, pour voler les secrets des développeurs et des CI/CD, puis se propager via des workflows de publication de confiance.
Le package populaire PyTorch Lightning compromis par Mini Shai-Hulud
Un malware a été découvert dans les versions populaires 2.6.2 et 2.6.3 de PyTorch Lightning, dérobant des identifiants, des portefeuilles crypto et des configurations VPN dans le cadre de la campagne Mini Shai-Hulud.
Mini Shai-Hulud cible les packages npm SAP avec un voleur de secrets basé sur Bun
Des packages npm SAP compromis utilisent une charge utile de pré-installation basée sur Bun pour dérober des secrets GitHub, npm, cloud et CI, puis se propagent via GitHub en utilisant OhNoWhatsGoingOnWithGitHub.
Quelqu'un a publié quatre versions d'un faux package « tanstack » en 27 minutes pour voler vos fichiers .env
Un faux package npm « tanstack » a publié aujourd'hui quatre versions malveillantes en 27 minutes, exfiltrant des fichiers .env via un hook postinstall. Voici ce qui s'est passé, qui a été affecté et comment renouveler vos identifiants.
Il est temps de considérer les extensions de navigateur comme des vecteurs d'attaque de la chaîne d'approvisionnement
La brèche Vercel a suivi un schéma bien connu de l'industrie de la sécurité, où le code tiers est implicitement approuvé, puis compromis en amont. Nous disposons d'un cadre pour cela. Nous ne l'avons simplement pas encore appliqué aux extensions de navigateur. (Spoiler : Nous le faisons pour les dépendances logicielles)
Shai-Hulud est-il de retour ? Le CLI Bitwarden compromis contient un ver npm auto-propageant
Un malware découvert dans @bitwarden/cli v2026.4.0 dérobe les clés SSH, les secrets cloud et les identifiants d'outils de codage IA, puis se propage via les propres packages npm des victimes. À l'intérieur : un ver se nommant « Shai-Hulud : The Third Coming. »
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
