Une attaque de type supply chain a compromis brièvement la bibliothèque JavaScript Axios en mars 2026 via le piratage du compte npm d’un mainteneur, permettant la publication de versions malveillantes intégrant une dépendance piégée qui installait un cheval de Troie (RAT) multiplateforme lors d’un simple npm install, exposant potentiellement les environnements de développement et les pipelines CI/CD sans modification directe du code applicatif. L’incident, actif seulement quelques heures mais à fort impact en raison de la popularité d’Axios, illustre la fragilité des chaînes d’approvisionnement logicielles et pousse à adopter des mesures comme le gel ou le filtrage des dépendances récentes, la rotation des secrets, l’audit des systèmes et une sécurisation renforcée des comptes et pipelines pour limiter ce type de compromission
Une présentation de ce problème : les dépendances d'un projet sont un vecteur d'attaque... et les projets PHP n'échappent pas à ce problème. L'auteur explore quelques pistes
L'auteur décrit une manière de gérer les menaces potentielles sur une application, en les explicitant dans un document. Il prend l'application web JSONDiff comme exemple
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre...
Un bon résumé
Je cite l'auteur "Rendre vulnérable un code sûr, réaliser une porte dérobée indétectable, voici quelques possibilités des attaques par faute. Faites chauffer votre amplificateur RF, nous allons faire des étincelles !"
Tout est dans le titre
Tout est dans le titre
... En fait, l'attaquant envoie un SMS contenant un lien vers une site du genre http://m.facebook.machintrucbidulechouette.mon-attaque.com/...
Le vrai nom de domaine est mon-attaque.com... et on ne peut pas voir grand chose de l'URL sur un smartphone. Bref, faut être vigilant ! L'auteur détaille quels sites sont concernés (en plus de facebook)
Très intéressant
Tout est dans le titre
Tout est dans le titre
Je cite : "Le clickjacking est un type d’attaque qui permet à un site malveillant d’envelopper un autre dans un conteneur."