SecureChain pour les logiciels libres

Points clés à retenir : une mise à jour de version n'est pas un correctif, et les mises à niveau des dépendances peuvent entraîner des changements susceptibles de causer des ruptures de compatibilité. Les mises à niveau forcées peuvent échouer de manière flagrante lors de la compilation ou entraîner des régressions plus subtiles lors de l'exécution...

Points clés : Les hachages des modules Go couvrent les noms et le contenu des fichiers, mais pas l’encodage ZIP. Une archive reconstruite indépendamment peut donc correspondre exactement. C’est pourquoi il est possible de configurer GOPROXY pour qu’il pointe vers un registre filtré…

La version courte Passer à la version longue ↓ Qu’est-ce qui s’est passé ? Le 20 août 2026, un pirate a utilisé le compte crates.io d’un mainteneur légitime pour publier des versions malveillantes d’arrayref 0.3.10, d’append-only-vec...

Points clés à retenir : un proxy Go Module est conçu pour servir des fichiers, et non pour déterminer si ces fichiers peuvent être exécutés en toute sécurité. Un seul caractère de votre chaîne GOPROXY détermine si un...

Points clés : Go identifie un paquet en fonction de son emplacement plutôt qu’en fonction d’un nom attribué par quelqu’un ; ainsi, un nom d’utilisateur GitHub qui n’est plus valide peut devenir un problème de chaîne d’approvisionnement sur…

Points clés à retenir : un dépôt PyPI privé permet de savoir d'où proviennent les paquets, mais ne garantit pas qu'ils puissent être installés en toute sécurité. L'ajout de l'option –extra-index-url au lieu de pointer –index-url vers un seul index rouvre la faille...

Points clés : PHP publie les dates de fin de vie plusieurs années à l'avance, tandis que les paquets Composer ne donnent aucune information lorsqu'un responsable de maintenance cesse de se manifester. Une dépendance abandonnée est souvent la raison pour laquelle un code PHP...

Points clés à retenir : Hades intégrait des hooks de démarrage au format .pth, ce qui faisait que la charge utile se déclenchait à chaque démarrage de Python plutôt qu'une seule fois lors de l'installation. La même astuce avait déjà été intégrée à LiteLLM onze semaines auparavant...

Points clés à retenir : les versions malveillantes d'Axios n'ont été disponibles que pendant environ trois heures ; les installations effectuées avant leur détection n'ont donc pas pu bénéficier des mesures de protection mises en place à la suite de l'avis de sécurité. Le nombre de téléchargements reflète le taux d'adoption, et non...

Points clés : Six campagnes de piratage de la chaîne d'approvisionnement ont touché npm, PyPI, les modules Go et Packagist entre mars et juillet 2026. Aucune d'entre elles n'a nécessité l'exploitation d'une faille dans le code d'une application, il a simplement suffi de...

Points clés à retenir : la plupart des outils de sécurité de la chaîne logistique logicielle vous indiquent ce qui s'est déjà glissé dans votre version, mais ils sont bien moins nombreux à empêcher que cela n'arrive dès le départ. Le...