Security Insights & CVE UpdatesActualités Sécurité & Mises à jour CVE

Databases Bases de données

PostgreSQL Security Vulnerabilities in 2026: 11 CVEs in May, pgcrypto RCE & Developer Hardening Guide

Vulnérabilités PostgreSQL en 2026 : 11 CVE en Mai, RCE pgcrypto & Guide de Durcissement

PostgreSQL published 16 CVEs in 2026 — nearly double its 2025 count. May’s mega-patch (18.4/17.10/16.14) fixed CVE-2026-6637 (refint stack overflow + SQL injection, CVSS 8.8), CVE-2026-6473 (integer wraparound RCE, CVSS 8.8) & CVE-2026-6475 (symlink traversal, CVSS 8.8). Plus: CVE-2026-2005 pgcrypto 20-year-old heap overflow & PostgreSQL 14 EOL November 2026.

PostgreSQL a publié 16 CVE en 2026 — près du double de son total 2025. Le mega-patch de mai (18.4/17.10/16.14) a corrigé CVE-2026-6637 (dépassement de pile refint + injection SQL, CVSS 8,8), CVE-2026-6473 (wraparound entier RCE, CVSS 8,8) & CVE-2026-6475 (traversal lien symbolique, CVSS 8,8). Plus : CVE-2026-2005 pgcrypto heap overflow vieux de 20 ans & fin de vie PostgreSQL 14 en novembre 2026.

June 2026 Juin 2026 Read Lire

npm npm

Miasma npm Supply Chain Attack in 2026: Red Hat @redhat-cloud-services, Phantom Gyp & SLSA Provenance Bypass

Attaque Supply Chain npm Miasma en 2026 : Red Hat @redhat-cloud-services, Phantom Gyp & Bypass Provenance SLSA

June 1, 2026: 32 @redhat-cloud-services npm packages backdoored via a compromised Red Hat employee GitHub account & GitHub Actions OIDC tokens. Phantom Gyp — a 157-byte binding.gyp — bypasses --ignore-scripts entirely. Credential-stealing worm with forged SLSA provenance harvests SSH keys, AWS/GCP/Azure credentials, Vault tokens & K8s secrets. Full remediation checklist.

1er juin 2026 : 32 packages npm @redhat-cloud-services backdoorés via un compte GitHub d’employé Red Hat compromis & des tokens OIDC GitHub Actions. Phantom Gyp — un binding.gyp de 157 octets — contourne complètement --ignore-scripts. Ver vol de credentials avec provenance SLSA forgée, ciblant clés SSH, credentials AWS/GCP/Azure, tokens Vault & secrets K8s. Checklist de remédiation complète.

June 2026 Juin 2026 Read Lire

Guides Guides

Terraform & IaC Security in 2026: CVE-2025-13357 (Vault Auth Bypass), tfstate Secrets & Checkov/Trivy Hardening Guide

Sécurité Terraform & IaC en 2026 : CVE-2025-13357 (Bypass Auth Vault), Secrets tfstate & Guide Durcissement Checkov/Trivy

CVE-2025-13357 (CVSS 7.4) in the Vault Terraform Provider sets deny_null_bind=false by default — attackers can authenticate to Vault without credentials. tfstate stores every secret in plaintext: sensitive=true only masks CLI output. Checkov vs Trivy vs tfsec comparison, OIDC CI/CD guide & OpenTofu native state encryption.

CVE-2025-13357 (CVSS 7.4) dans le Vault Terraform Provider définit deny_null_bind=false par défaut — les attaquants peuvent s’authentifier dans Vault sans credentials. tfstate stocke chaque secret en clair : sensitive=true ne masque que la sortie CLI. Comparaison Checkov vs Trivy vs tfsec, guide OIDC CI/CD & chiffrement natif OpenTofu.

June 2026 Juin 2026 Read Lire

Python Python

Python Security Vulnerabilities in 2026: CVE-2026-3298 asyncio, BadHost (Starlette) & tarfile Bypass Guide

Vulnérabilités Sécurité Python en 2026 : CVE-2026-3298 asyncio, BadHost (Starlette) & Bypass tarfile

CVE-2026-3298 (CVSS 8.8) triggers out-of-bounds writes in asyncio on all Windows Python 3.11+ deployments. CVE-2026-48710 BadHost bypasses FastAPI & LiteLLM auth via a single injected character in the Host header — 325M Starlette downloads/week at risk. Python 3.11 EOL October 2026. tarfile filter bypass (CVE-2025-4517) & full hardening guide.

CVE-2026-3298 (CVSS 8.8) déclenche des écritures hors limites dans asyncio sur tous les déploiements Windows Python 3.11+. CVE-2026-48710 BadHost contourne l’auth FastAPI & LiteLLM via un caractère injecté dans l’en-tête Host — 325M téléchargements Starlette/semaine exposés. Python 3.11 EOL octobre 2026. Bypass filtre tarfile (CVE-2025-4517) & guide durcissement complet.

June 2026 Juin 2026 Read Lire

Guides Guides

OWASP Top 10 for LLM Applications in 2026: Prompt Injection, Excessive Agency & Agentic AI Developer Guide

OWASP Top 10 pour Applications LLM en 2026 : Prompt Injection, Agence Excessive & Guide Développeur IA Agentique

73% of production AI deployments are vulnerable to prompt injection. CVE-2025-68664 (CVSS 9.3) chains LangChain serialization into secret extraction. OWASP released a dedicated Agentic Top 10 in December 2025. LLM01–LLM10 explained with real CVEs, attack patterns & hardening checklist for developers building LLM-powered apps.

73% des déploiements IA en production sont vulnérables à l’injection de prompt. CVE-2025-68664 (CVSS 9.3) chaîne la sérialisation LangChain en extraction de secrets. OWASP a publié un Top 10 Agentique dédié en décembre 2025. LLM01–LLM10 expliqués avec CVE réelles, patterns d’attaque & checklist de durcissement pour développeurs.

June 2026 Juin 2026 Read Lire

Guides Guides

GitHub Copilot Workspace & Agentic Code Security in 2026: CVE-2026-41109, IDEsaster & MCP Supply Chain Crisis

Sécurité GitHub Copilot Workspace & Code Agentique en 2026 : CVE-2026-41109, IDEsaster & Crise Supply Chain MCP

CVE-2026-41109 (CVSS 8.8) lets unauthenticated attackers inject malicious Copilot suggestions. IDEsaster found 30+ CVEs — 100% of AI IDEs vulnerable to data theft & RCE. MCP design flaw exposes 150M+ downloads to arbitrary command execution. AGENTS.md poisoning, RoguePilot repo takeover & full hardening guide.

CVE-2026-41109 (CVSS 8.8) permet à des attaquants non authentifiés d’injecter des suggestions Copilot malveillantes. IDEsaster : 30+ CVE — 100% des IDE IA vulnérables au vol de données & RCE. Le défaut MCP expose 150M+ téléchargements à l’exécution de commandes. Empoisonnement AGENTS.md, RoguePilot & guide de durcissement complet.

June 2026 Juin 2026 Read Lire

Guides Guides

GitHub Actions Security Hardening in 2026: Least-Privilege Permissions, SLSA Build Levels & the 2026 Roadmap

Durcissement Sécurité GitHub Actions en 2026 : Permissions Moindre Privilège, SLSA Build Levels & Roadmap 2026

76 of 77 trivy-action tags poisoned in March 2026, 23K+ repos compromised via tj-actions. Complete hardening guide: least-privilege GITHUB_TOKEN permissions, environment secrets, SHA pinning, SLSA Build Levels, reusable workflow risks & the scoped secrets + native egress firewall roadmap.

76 des 77 tags trivy-action empoisonnés en mars 2026, 23K+ dépôts compromis via tj-actions. Guide complet de durcissement : permissions GITHUB_TOKEN moindre privilège, secrets d’environnement, pinning SHA, SLSA Build Levels, risques workflows réutilisables & roadmap secrets portés + pare-feu de sortie natif.

May 2026 Mai 2026 Read Lire

Laravel Laravel

Laravel-Lang Supply Chain Attack in 2026: 700 Versions Backdoored & Git Tag Rewrite Bypass

Attaque Supply Chain Laravel-Lang en 2026 : 700 Versions Backdoorées & Git Tag Rewrite Bypass

May 22, 2026: attackers rewrote 700+ git tags across 4 Composer packages in under 90 minutes, deploying a 5,900-line PHP credential stealer to 10.3M+ installs. AWS keys, GitHub tokens, crypto wallets, .env files — all targeted. Detection checklist & incident response guide.

22 mai 2026 : des attaquants ont réécrit 700+ tags git dans 4 packages Composer en moins de 90 minutes, déployant un credential stealer PHP de 5 900 lignes sur 10,3M+ installations. Clés AWS, tokens GitHub, wallets crypto, fichiers .env — tout ciblé. Guide de détection & réponse à l’incident.

May 2026 Mai 2026 Read Lire

Guides Guides

Dependency-Track vs Dependency-Check vs Trivy in 2026: CI/CD Scanners vs Continuous Component Analysis

Dependency-Track vs Dependency-Check vs Trivy en 2026 : Scanners CI/CD vs Analyse Continue de Composants

Trivy 34K+ stars for CI/CD scanning. OWASP Dependency-Check for point-in-time compliance reports (CPE false positive warnings). Dependency-Track for zero-rescan portfolio monitoring, VEX support & EU CRA compliance. Architecture guide for DevSecOps teams of all sizes.

Trivy 34K+ stars pour le scanning CI/CD. OWASP Dependency-Check pour les rapports de conformité ponctuels (attention aux faux positifs CPE). Dependency-Track pour le monitoring portfolio sans rescan, le support VEX & la conformité EU CRA. Guide d’architecture pour les équipes DevSecOps.

May 2026 Mai 2026 Read Lire

Guides Guides

OWASP Dependency-Check vs Trivy vs Grype vs Snyk in 2026: Which Scanner Should You Use?

OWASP Dependency-Check vs Trivy vs Grype vs Snyk en 2026 : Quel Scanner Choisir ?

Practical 2026 comparison of the 4 most-used dependency scanners. Trivy 32K+ stars & 14s scans, Grype 96.2% CVE recall with EPSS scoring, OWASP DC false positive pitfalls via CPE/NVD, Snyk $126K/yr for 100 devs. Decision framework for DevSecOps teams.

Comparaison pratique 2026 des 4 scanners de dépendances les plus utilisés. Trivy 32K+ stars & scans 14s, Grype 96,2% recall CVE avec scoring EPSS, faux positifs OWASP DC via CPE/NVD, Snyk 126K$/an pour 100 devs. Arbre de décision pour équipes DevSecOps.

May 2026 Mai 2026 Read Lire

Guides Guides

SBOM for Containers & Helm Charts in 2026: Syft, Grype, EU CRA & DevOps Guide

SBOM pour Containers & Helm Charts en 2026 : Syft, Grype, EU CRA & Guide Complet DevOps

EU CRA mandatory 24h incident reporting starts September 2026 — SBOM required for containers & Helm charts in the EU. Complete Syft+Grype DevOps guide: generate CycloneDX from Docker images, scan with Grype CVE gates, CISA 2025 minimum elements, VEX for OS-level noise. 92% of enterprises now require SBOMs from vendors.

EU CRA : reporting obligatoire d’incidents en 24h dès septembre 2026 — SBOM requis pour containers & charts Helm dans l’UE. Guide DevOps complet Syft+Grype : CycloneDX depuis images Docker, portes CVE Grype, éléments minimaux CISA 2025, VEX pour le bruit CVE OS. 92% des entreprises exigent désormais des SBOM.

May 2026 Mai 2026 Read Lire

Kubernetes Kubernetes

Kubernetes & Helm Chart Security in 2026: CVE-2026-41323 (Kyverno Cluster Takeover), CVE-2026-35206 (Helm Path Traversal) & Falco Runtime Guide

Sécurité Kubernetes & Helm en 2026 : CVE-2026-41323 (Prise de Contrôle Cluster Kyverno), CVE-2026-35206 (Path Traversal Helm) & Guide Runtime Falco

CVE-2026-41323 (CVSS 8.1) leaks Kyverno ServiceAccount tokens to any URL — full cluster takeover & cloud IAM exfiltration on EKS/GKE/AKS. CVE-2026-35206 allows crafted Helm charts to write files outside target directories via dot-segment names. 69 public charts grant root-equivalent cluster access. Complete Falco + eBPF runtime hardening guide.

CVE-2026-41323 (CVSS 8.1) divulgue les tokens ServiceAccount Kyverno vers n'importe quelle URL — prise de cluster complète & exfiltration IAM cloud sur EKS/GKE/AKS. CVE-2026-35206 permet à des charts Helm craftés d'écrire des fichiers hors des répertoires cibles via des noms segments-points. 69 charts publics accordent un accès équivalent root. Guide complet de durcissement runtime Falco + eBPF.

May 2026 Mai 2026 Read Lire