.avif)
Actualités de la sécurité de la chaîne d’approvisionnement logicielle
Restez informé des derniers incidents de sécurité de la chaîne d’approvisionnement logicielle, y compris les paquets malveillants, les attaques de dépendances et les violations réelles. Nous expliquons ce qui s'est passé, pourquoi c'est important et ce que les développeurs devraient corriger pour garder une longueur d'avance.
La campagne « wfx-loot » diffuse un programme de vol de secrets de CI dans des dizaines de milliers de dépôts
Une vague de comptes piratés diffuse un programme de vol de secrets de CI. Vérifiez si vous êtes concerné, ce qu'il vole et quels identifiants changer.
Une vulnérabilité critique du noyau Linux liée au protocole TCP peut permettre l'exécution de code à distance (CVE-2026-98432)
CVE-2026-98432 est une faille critique du noyau Linux liée au protocole TCP, notée 9,8, qui peut permettre l'exécution de code à distance. Découvrez qui est concerné, comment appliquer le correctif et quelles mesures prendre dès maintenant.
Node2Shell évolue vers HTTP2Shell. La faille Brotli (CVE-2026-111497) touche de nombreuses bibliothèques et applications utilisant le protocole HTTP.
La faille Brotli à l'origine de Node2Shell (CVE-2026-111497) affecte de nombreuses bibliothèques et applications utilisant HTTP et sur lesquelles Brotli ou brotlicffi est installé. Vérifiez vos versions et effectuez la mise à jour pour bénéficier du correctif.
Un malware Unicode invisible frappe à nouveau OpenVSX
Une nouvelle vague d'extensions Open VSX a été compromise aujourd'hui.
Le retour de la menace invisible : Les caractères Unicode PUA cachés frappent les dépôts GitHub
Les acteurs de la menace utilisent des caractères Unicode non imprimables pour
Bugs dans Shai-Hulud : Déboguer le désert
Le ver Shai Hulud présentait ses propres bugs et a nécessité des correctifs de la part des attaquants. Nous examinons également une chronologie des événements pour comprendre comment ils se sont déroulés.
Les attaquants S1ngularity/nx frappent à nouveau
Les attaquants derrière l'attaque nx ont de nouveau frappé, ciblant un grand nombre de packages, avec une charge utile de type ver inédite.
Nous avons eu de la chance : la catastrophe de la chaîne d'approvisionnement qui a failli se produire
Dix-huit packages open source largement utilisés ont été compromis, téléchargés des milliards de fois et intégrés dans presque tous les environnements cloud. La communauté a échappé de peu à la catastrophe. Mais cet incident critique révèle la fragilité de notre chaîne d'approvisionnement logicielle.
Packages npm duckdb compromis
Le populaire package duckdb a été compromis par les mêmes attaquants qui ont ciblé debug et chalk.
Les packages npm debug et chalk ont été compromis
Les populaires packages debug et chalk sur npm ont été compromis par du code malveillant.
Sans un graphe de dépendances à travers le code, les conteneurs et le cloud, vous êtes aveugle aux vulnérabilités réelles.
Cessez de vous noyer dans les CVE. Sans un graphe de dépendances couvrant le code, les conteneurs et le cloud, vous manquerez de vraies vulnérabilités et courrez après de faux positifs.
Packages nx populaires compromis sur npm
Le populaire package nx sur npm a été compromis, et des données volées ont été publiées publiquement sur GitHub.
WTF est la sécurité du code Vibe ? Risques, exemples et comment rester en sécurité
Le Vibe coding est la nouvelle tendance de codage basée sur l'IA où n'importe qui peut créer une application en quelques heures. Mais de l'effacement de la base de données de Replit aux applications "tea" exposées, les risques sont réels. Découvrez ce que signifie la sécurité du vibe coding, la différence avec le codage agentique, et comment les CISO peuvent maintenir l'ambiance sans les vulnérabilités.
Un examen plus approfondi de l'acteur de la menace derrière l'attaque react-native-aria
Nous enquêtons sur l'activité de l'acteur de la menace qui a compromis les packages react-native-aria sur npm, et sur la manière dont ils font évoluer leurs attaques.
Un package malveillant de vol de cryptomonnaies cible les développeurs Web3 dans le cadre d'une opération nord-coréenne
Aikido Security découvre une attaque de la chaîne d'approvisionnement liée à la Corée du Nord utilisant le faux package npm web3-wrapper-ethers pour voler les clés privées des développeurs Web3. Lié à Void Dokkaebi, l'acteur de la menace reproduit les opérations de vol de crypto passées de la RPDC. Découvrez comment l'attaque a fonctionné et ce qu'il faut faire si vous êtes affecté.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
