.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
JavaScript, MSBuild et la Blockchain : Anatomie de l'attaque de la chaîne d'approvisionnement npm NeoShadow
Une analyse technique approfondie de l'attaque de la chaîne d'approvisionnement npm NeoShadow, détaillant comment les techniques JavaScript, MSBuild et blockchain ont été combinées pour compromettre les développeurs.
Vulnérabilités IDOR expliquées : Pourquoi elles persistent dans les applications modernes
Découvrez ce qu'est une vulnérabilité IDOR, pourquoi les références directes d'objets non sécurisées persistent dans les API modernes, et pourquoi les outils de test traditionnels peinent à détecter les véritables échecs d'autorisation.
Shai Hulud frappe à nouveau - La voie royale.
Une nouvelle souche de Shai Hulud a été observée dans la nature.
MongoBleed : Vulnérabilité Zlib de MongoDB (CVE-2025-14847) et comment la corriger
MongoBleed, identifié sous la CVE-2025-14847, permet la divulgation de mémoire non authentifiée dans MongoDB via la compression zlib. Voir l'impact et la remédiation.
Premier malware sophistiqué découvert sur Maven Central via une attaque de typosquatting sur Jackson
Nous avons découvert la première campagne de malware sophistiquée sur Maven Central : un paquet Jackson typosquatté délivrant des charges utiles multi-étapes et des balises Cobalt Strike via l'auto-exécution de Spring Boot.
Le Fork s'éveille : Pourquoi les réseaux invisibles de GitHub compromettent la sécurité des packages
Une analyse approfondie d'une faille de sécurité GitHub où les commits forkés permettaient aux attaquants d'usurper des dépendances. Comprendre le problème du SHA de commit et pourquoi les gestionnaires de paquets ont besoin d'une protection au niveau de l'API.
Vulnérabilité DoS de React et Next.js (CVE-2025-55184) : Ce que vous devez corriger après React2Shell
CVE-2025-55184 est une faille DoS des React Server Components liée à React2Shell. Découvrez qui est concerné, comment elle fonctionne et comment la corriger entièrement.
PromptPwnd : Vulnérabilités par Prompt Injection dans les GitHub Actions utilisant des agents d'IA
Les GitHub Actions pilotées par l'IA exposent de nouvelles vulnérabilités de la chaîne d'approvisionnement par injection de prompt.
Vulnérabilité RCE critique dans React et Next.js (CVE-2025-55182) : Ce que vous devez corriger maintenant
Découvrez comment la CVE-2025-55182 et la vulnérabilité RCE Next.js associée affectent les React Server Components. Voyez l'impact, les versions affectées et comment corriger. Aikido détecte désormais les deux problèmes.
Shai Hulud 2.0 : ce que l’Errant inconnu nous révèle sur la stratégie finale des attaquants
De nouvelles recherches sur le malware Shai Hulud 2.0 suggèrent que le nom d'utilisateur UnknownWonderer1 nous en dit plus sur l'objectif final des attaquants.
Les attaques Shai Hulud persistent via les vulnérabilités de GitHub Actions.
Les acteurs de la menace Shai Hulud exploitent les vulnérabilités de GitHub Actions dans une campagne d'exploitation en cours. Découvrez l'impact et les mesures de sécurité recommandées.
Shai Hulud lance une deuxième attaque sur la chaîne d'approvisionnement : Zapier, ENS, AsyncAPI, PostHog, Postman compromis.
L'acteur de la menace derrière « Shai Hulud 2.0 » a lancé une nouvelle campagne de logiciels malveillants compromettant la chaîne d'approvisionnement de Zapier, ENS Domains et d'autres — exposant des secrets, injectant du code malveillant et permettant une prise de contrôle généralisée des environnements de développement.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
