.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
Multiples vulnérabilités de cross-site scripting (XSS) dans Mailcow
L'agent de pentest IA d'Aikido a découvert trois vulnérabilités XSS dans Mailcow, dont l'une permettait à des attaquants non authentifiés de prendre le contrôle de comptes administrateur. Tous les problèmes ont été corrigés à partir de la version 2026-03b.
Axios CVE-2026-40175 : une faille critique… non exploitable
Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.
GlassWorm passe au natif : Un nouveau dropper Zig infecte tous les IDE de votre machine
GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.
Aikido Attack découvre plusieurs 0-days dans Hoppscotch
Les agents de pentest IA d'Aikido ont découvert plusieurs vulnérabilités de gravité élevée dans Hoppscotch, notamment des prises de contrôle de compte, des XSS stockées et des failles de contrôle d'accès. Tous les problèmes sont désormais corrigés.
axios compromis sur npm : compte du mainteneur piraté, RAT déployé
Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées via un compte de mainteneur piraté. Une dépendance cachée déploie un RAT multiplateforme. Vérifiez si vous êtes affecté et corrigez la situation dès maintenant.
Le package populaire telnyx sur PyPI compromis par TeamPCP
Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
GlassWorm cache un RAT dans une extension Chrome malveillante
GlassWorm déploie un RAT multi-étapes qui installe de force une extension Chrome malveillante pour enregistrer les frappes, voler les cookies et exfiltrer des données via un C2 basé sur Solana.
L'extension fast-draft Open VSX compromise par BlokTrooper
L'extension fast-draft Open VSX a été compromise pour déployer un RAT et un infostealer de BlokTrooper via des charges utiles hébergées sur GitHub. Plusieurs versions malveillantes ont été identifiées.
Glassworm cible des packages React Native populaires de numéros de téléphone
Les chercheurs d'Aikido Security ont récupéré et déchiffré la chaîne de charge utile complète de deux packages React Native malveillants. Voici ce que fait le malware et ce qu'il faut rechercher.
Glassworm est de retour : une nouvelle vague d'attaques Unicode invisibles frappe des centaines de dépôts
L'attaque de la chaîne d’approvisionnement Glassworm est de retour. Des chercheurs ont découvert un malware caché dans des caractères Unicode invisibles dans plus de 150 dépôts GitHub, ainsi que des packages npm et des extensions VS Code.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
