.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
Comment les équipes de sécurité ripostent contre les hackers alimentés par l'IA
L'IA a considérablement abaissé la barre pour les hackers. Voici ce que cela signifie pour les défenseurs et comment le pentest IA continu change la donne.
XSS\/RCE persistants via les WebSockets dans le serveur de développement de Storybook
La CVE-2026-27148 révèle une faille de détournement de WebSocket dans Storybook qui peut dégénérer en compromission de la chaîne d'approvisionnement. Découvrez le chemin d'attaque, l'impact et comment y remédier.
Astro SSRF en lecture complète via injection d'en-tête Host
L'agent de pentest IA d'Aikido Security a découvert une vulnérabilité de type Server-Side Request Forgery dans l'implémentation SSR d'Astro. Découvrez comment l'injection d'en-tête Host dans les pages d'erreur pré-rendues a permis un accès complet au réseau interne.
SvelteSpill : Une vulnérabilité de tromperie de cache dans SvelteKit + Vercel
SvelteSpill est une vulnérabilité de tromperie de cache affectant les applications SvelteKit par défaut déployées sur Vercel. Les réponses authentifiées peuvent être mises en cache et exposées à d'autres utilisateurs. Découvrez comment vérifier si vous êtes vulnérable et comment atténuer les risques.
Une backdoor npm permet aux hackers de manipuler les résultats de jeux d'argent
Une attaque ciblée sur la chaîne d'approvisionnement npm installe une backdoor Express, permet l'accès à distance aux fichiers SQL et réécrit les soldes de jeux d'argent tout en maintenant la cohérence des logs.
npx Confusion : Des packages qui ont oublié de revendiquer leur propre nom
Nous avons revendiqué 128 noms de packages npm non réclamés que la documentation officielle indiquait aux développeurs d'utiliser avec npx. Sept mois plus tard : 121 000 téléchargements. Tous auraient exécuté du code arbitraire.
Une fausse extension VS Code Clawdbot installe le RAT ScreenConnect
Une extension VS Code malveillante se faisant passer pour Clawdbot installe un RAT ScreenConnect sur les machines des développeurs.
G_Wagon : un package npm déploie un malware voleur Python ciblant plus de 100 portefeuilles crypto
Le package npm ansi-universal-ui délivre l'infostealer GWagon ciblant plus de 100 portefeuilles de cryptomonnaies, des identifiants de navigateur et des clés cloud. Nous avons analysé les 10 versions au fur et à mesure que l'attaquant itérait en temps réel.
Gone Phishin' : des packages npm diffusant des pages personnalisées de collecte d’identifiants
Une campagne de spear-phishing ciblée a utilisé des packages npm et jsDelivr comme infrastructure de phishing gratuite, servant des collecteurs d'identifiants personnalisés par victime.
Les packages PyPI malveillants spellcheckpy et spellcheckerpy délivrent un RAT Python
Des attaquants ont publié de faux packages de correcteurs orthographiques sur PyPI avec des malwares cachés à la vue de tous. Nous analysons l'attaque et ce à quoi les développeurs doivent faire attention.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
