Supply Chain Attacks ArticlesArticles Attaques Supply Chain

Supply Chain Supply Chain

Malicious VS Code Extensions in 2026: GlassWorm, MaliciousCorgi & Developer Supply Chain Security Guide

Extensions VS Code Malveillantes en 2026 : GlassWorm, MaliciousCorgi & Guide Sécurité Supply Chain

GlassWorm planted 73 malicious extensions on OpenVSX (April 27, 2026) — the 4th wave since October 2025. MaliciousCorgi silently exfiltrated source code from 1.5M developer machines via AI-branded extensions. CVE-2025-65717 (CVSS 9.1) in Live Server (72M installs) remains unpatched. Complete audit checklist, CVE breakdown & enterprise hardening guide.

GlassWorm a planté 73 extensions malveillantes sur OpenVSX (27 avril 2026) — la 4e vague depuis octobre 2025. MaliciousCorgi a silencieusement exfiltré du code source depuis 1,5M de machines de développeurs via des extensions IA. CVE-2025-65717 (CVSS 9.1) dans Live Server (72M installations) reste non corrigée. Check-list d’audit complète, analyse CVE & guide de durcissement entreprise.

May 2026 Mai 2026 Read Lire

Guides Guides

GitHub Actions OIDC Token Security in 2026: Token Theft, pull_request_target Attacks & Hardening Guide

Sécurité Tokens OIDC GitHub Actions en 2026 : Vol de Tokens, Attaques pull_request_target & Guide de Durcissement

OIDC tokens stolen via chained GitHub Actions exploits enabled 84 malicious TanStack packages published in 6 minutes (CVE-2026-45321, CVSS 9.6). 23,000+ repos compromised via tj-actions. GitHub’s 2026 Security Roadmap explained: dependency locking, L7 egress firewall, scoped secrets & immutable subject claims. Complete workflow hardening checklist.

Des tokens OIDC volés via des exploits GitHub Actions chaînés ont permis la publication de 84 packages TanStack malveillants en 6 minutes (CVE-2026-45321, CVSS 9.6). 23 000+ dépôts compromis via tj-actions. Roadmap Sécurité GitHub 2026 expliquée : verrouillage de dépendances, pare-feu L7, secrets limités & claims subject immuables. Check-list complète de durcissement.

May 2026 Mai 2026 Read Lire

npm npm

TanStack npm Supply Chain Attack in 2026: CVE-2026-45321 (CVSS 9.6), Mini Shai-Hulud Worm & CI/CD Hardening Guide

Attaque Supply Chain npm TanStack en 2026 : CVE-2026-45321 (CVSS 9.6), Ver Mini Shai-Hulud & Comment Protéger Votre CI/CD

CVE-2026-45321 (CVSS 9.6): 84 malicious @tanstack/* versions published in 6 minutes on May 11, 2026 via GitHub Actions OIDC token theft — the first npm worm to bypass SLSA Build Level 3 provenance. 518M+ cumulative downloads affected across 170+ npm & PyPI packages. Pull_request_target attack chain explained & full CI/CD hardening checklist.

CVE-2026-45321 (CVSS 9.6) : 84 versions malveillantes @tanstack/* publiées en 6 minutes le 11 mai 2026 via vol de token OIDC GitHub Actions — premier ver npm à contourner la provenance SLSA Build Level 3. 518M+ téléchargements cumulés affectés sur 170+ packages npm & PyPI. Chaîne d’attaque pull_request_target expliquée & guide de durcissement CI/CD complet.

May 2026 Mai 2026 Read Lire

Python Python

pip-audit & Poetry Security in 2026: CVE-2026-34591, pylock.toml & PyPI Trusted Publishers

Sécurité pip-audit & Poetry en 2026 : CVE-2026-34591, pylock.toml & PyPI Trusted Publishers

CVE-2026-34591 (CVSS 7.1) lets crafted wheels overwrite arbitrary files via Poetry’s wheel installer (Poetry 1.4.0–2.3.2). pip-audit 2.9.0 adds PEP 751 pylock.toml support. 132K+ PyPI packages now have provenance attestations. Full CI/CD integration guide.

CVE-2026-34591 (CVSS 7.1) permet à des wheels craftées d’écraser des fichiers arbitraires via l’installeur Poetry (1.4.0–2.3.2). pip-audit 2.9.0 ajoute le support PEP 751 pylock.toml. Plus de 132K packages PyPI ont des attestations de provenance. Guide CI/CD complet.

May 2026 Mai 2026 Read Lire

npm npm

Vite.js Security Vulnerabilities in 2026: CVE-2025-30208, CISA KEV & The Recurring WebSocket File Read Problem

Vulnérabilités Vite.js en 2026 : CVE-2025-30208, CISA KEV & Le Problème Récurrent de Lecture de Fichiers via WebSocket

4 file-read CVEs in Vite’s dev server in 18 months. CVE-2025-31125 added to CISA KEV January 2026 — active exploitation confirmed. CVE-2026-39363 CVSS 8.2 bypasses all HTTP access controls via WebSocket. Full developer guide with verified data.

4 CVE de lecture de fichiers dans le serveur de développement Vite en 18 mois. CVE-2025-31125 ajoutée au CISA KEV en janvier 2026 — exploitation active confirmée. CVE-2026-39363 CVSS 8.2 contourne tous les contrôles d’accès HTTP via WebSocket. Guide complet avec données vérifiées.

April 2026 Avril 2026 Read Lire

npm npm

npm Semver Vulnerabilities & Range Exploits in 2026: ^1.0.0 Risks, CVE-2022-25883 & Defense Guide

Vulnérabilités Semver npm en 2026 : Risques ^1.0.0, CVE-2022-25883 & Guide de Défense

The semver package gets 643M downloads/week — CVE-2022-25883 cascaded to thousands of packages. Caret ranges let attackers slip malicious minor versions past your lockfile. Full 2026 guide with real incidents and verified data.

Le package semver reçoit 643M téléchargements/semaine — CVE-2022-25883 a cascadé vers des milliers de packages. Les ranges caret permettent aux attaquants de glisser des versions mineures malveillantes dans votre lockfile. Guide complet 2026.

April 2026 Avril 2026 Read Lire

npm npm

npm Self-Propagating Worms in 2026: CanisterWorm, Bitwarden CLI & How TeamPCP Turns Developers into Malware Vectors

Vers Auto-Propagants npm en 2026 : CanisterWorm, Bitwarden CLI & Comment TeamPCP Transforme les Développeurs en Vecteurs de Malware

April 22, 2026: CanisterWorm backdoored Namastex npm packages while @bitwarden/cli@2026.4.0 was live on npm for 93 minutes. Both attacks by TeamPCP. How self-propagating worms steal tokens, infect dozens of packages in minutes, and how to protect your stack.

Le 22 avril 2026 : CanisterWorm backdooré les packages npm de Namastex pendant que @bitwarden/cli@2026.4.0 était en ligne 93 minutes. Les deux attaques par TeamPCP. Comment les vers auto-propagants voléent les tokens et infectent des dizaines de packages en minutes.

April 2026 Avril 2026 Read Lire

Kubernetes Kubernetes

Kubernetes Security Vulnerabilities in 2026: IngressNightmare, runc Escapes & RBAC Hardening Guide

Vulnérabilités Sécurité Kubernetes en 2026 : IngressNightmare, Évasions runc & Guide de Durcissement RBAC

CVE-2025-1974 (CVSS 9.8) gives unauthenticated RCE on 43% of cloud clusters — 6,500+ exposed. runc CVEs allow container escape on Docker & K8s nodes. RBAC misconfigs in 45% of environments. Full hardening guide with verified data.

CVE-2025-1974 (CVSS 9.8) donne un RCE non authentifié sur 43% des clusters cloud — 6 500+ exposés. Les CVE runc permettent l’évasion de containers sur Docker & K8s. Mauvaises configs RBAC dans 45% des environnements. Guide de durcissement complet.

April 2026 Avril 2026 Read Lire

Docker Docker

Docker Container Security in 2026: CVE-2026-34040, Base Image Risks & Complete Hardening Guide

Sécurité des Containers Docker en 2026 : CVE-2026-34040, Risques Base Image & Guide de Durcissement Complet

CVE-2026-34040 (CVSS 8.8) bypasses Docker AuthZ plugins with a single padded request — an incomplete fix from CVE-2024-41110 (CVSS 10.0). 87% of container images carry high/critical CVEs. Full technical breakdown and hardening checklist.

CVE-2026-34040 (CVSS 8.8) contourne les plugins AuthZ Docker via une seule requête rembourrée — correctif incomplet de CVE-2024-41110 (CVSS 10.0). 87% des images container portent des CVE élevées/critiques. Analyse technique complète et checklist de durcissement.

April 2026 Avril 2026 Read Lire

PHP PHP

PHP Composer Security Vulnerabilities in 2026: CVE-2026-40261, CVE-2026-40176 & How to Protect Your PHP Projects

Vulnérabilités Sécurité PHP Composer en 2026 : CVE-2026-40261, CVE-2026-40176 & Comment Protéger vos Projets PHP

Two command injection flaws in Composer’s Perforce driver (CVE-2026-40261 CVSS 8.8, CVE-2026-40176 CVSS 7.8) allow arbitrary code execution during composer install — no Perforce required. Patch to 2.9.6 immediately. Full analysis with verified data.

Deux injections de commandes dans le driver Perforce de Composer (CVE-2026-40261 CVSS 8.8, CVE-2026-40176 CVSS 7.8) permettent d’exécuter du code arbitraire lors d’un composer install — sans avoir Perforce. Patcher vers 2.9.6 immédiatement.

April 2026 Avril 2026 Read Lire

WordPress WordPress

WordPress Plugin Security in 2026: EssentialPlugin Backdoor, Ninja Forms RCE & The Supply Chain Crisis

Sécurité des Plugins WordPress en 2026 : Backdoor EssentialPlugin, RCE Ninja Forms & La Crise Supply Chain

EssentialPlugin backdoored 200K+ sites via Flippa — 6h44 of active attack, 22 plugins closed. Ninja Forms CVE-2026-0740 CVSS 9.8 actively exploited. Modular DS CVE-2026-23550 CVSS 10.0 exploited before patch. Full guide with verified data.

EssentialPlugin a backdooré 200K+ sites via Flippa — 6h44 d’attaque active, 22 plugins fermés. Ninja Forms CVE-2026-0740 CVSS 9.8 activement exploité. Modular DS CVE-2026-23550 CVSS 10.0 exploité avant le patch. Guide complet avec données vérifiées.

April 2026 Avril 2026 Read Lire

npm npm

npm Lockfile Poisoning in 2026: How Attackers Hijack package-lock.json & yarn.lock

Lockfile Poisoning npm en 2026 : Comment les attaquants détournent package-lock.json & yarn.lock

The Axios RAT hid in a lockfile entry for 2h54. 111 Dependabot PRs propagated it, 60% auto-merged. How lockfile poisoning works, npm ci vs npm install, lockfile-lint, and Socket.dev — with verified sources.

Le RAT Axios s’est caché dans une entrée de lockfile pendant 2h54. 111 PRs Dependabot l’ont propagé, 60% auto-mergées. Mécanisme de l’attaque, npm ci vs npm install, lockfile-lint et Socket.dev.

April 2026 Avril 2026 Read Lire