Sécurité des applications web

Dans le rapport annuel de Verizon, l'exploitation de vulnérabilités explique 31 % des intrusions, devant le phishing et les identifiants volés. Dans le même temps, les entreprises n'ont entièrement corrigé que 26 % des failles activement exploitées, en 43 jours médians. Ce que ça implique pour une application web exposée.

Une étude UpGuard publiée le 25 septembre 2026 a trouvé 16 326 bases Supabase aux tables lisibles par n'importe qui, sans authentification ni exploit. La cause tient en une phrase : le Table Editor protège par défaut, l'API que les agents IA utilisent ne le fait pas.

Le CDC, Deloitte, PwC, Berkeley, Stanford : le groupe Hazy Hawk a pris le contrôle de sous-domaines d'organisations majeures sans rien pirater, en réservant les ressources cloud qu'elles avaient supprimées. En avril 2026, une nouvelle vague a visé 34 universités américaines. Comment fonctionne un subdomain takeover, et pourquoi c'est plus grave qu'une page de spam.

Le radar de sécurité vibecoding de Georgia Tech a vu le nombre de CVE attribuables à des outils de code IA être multiplié par six en deux mois. C'est ce contexte, pas un chiffre marketing, qui explique pourquoi la couverture d'un scan compte.

Censys a compté plus de 12 500 serveurs MCP joignables depuis Internet en avril, puis plus de 21 000 en mai. Une étude publiée fin juillet a audité 414 d'entre eux : 91,8 % sans authentification OAuth. Comment le protocole fonctionne, et comment on en arrive là.

Le chercheur RyotaK a fini par recenser une cinquantaine de façons distinctes de contourner le système de permissions de Claude Code. La plus critique a permis, en janvier 2026, de voler des secrets CI/CD depuis une simple issue GitHub.

Le rapport annuel de GitGuardian compte 28,65 millions de secrets exposés sur GitHub public en 2025, +81 % pour les clés d'IA, et des commits assistés par Claude Code qui fuient deux fois plus que la moyenne. Comment une clé finit dans un bundle, et comment l'en empêcher.

Depuis le 15 mars 2026, un certificat public ne peut plus dépasser 200 jours. Ce sera 100 jours en 2027 et 47 jours en 2029, et Let's Encrypt descendra à 45 jours dès 2028. Le calendrier, les raisons, et ce qu'il faut automatiser pour qu'un certificat expiré ne coupe plus jamais votre site.

En mai, l'équipe de recherche Microsoft Defender a publié deux CVE critiques dans Semantic Kernel, où une injection de prompt pouvait aboutir à une exécution de code sur la machine hôte. Le problème ne se limite pas à un framework.

CVE-2026-22708 : dans Cursor, un simple README ou un commentaire d'issue suffisait à modifier une variable d'environnement et détourner une commande pourtant déjà validée par l'allowlist, comme git branch.

Le crawl de juin 2026 de Scott Helme sur le top 1 million mesure dix ans de progrès : CSP multiplié par 125 depuis 2015, HSTS sur 31 % des sites. Mais près d'une politique CSP sur deux autorise encore unsafe-inline. Ce que disent les chiffres, et la configuration qui tient la route.

CVE-2025-55182 permettait d'exécuter du code sur n'importe quel serveur Next.js 15 ou 16 en App Router, sans authentification, même sans une seule Server Function déclarée. Anatomie du protocole Flight, de la faille, et de ce qu'il faut encore vérifier huit mois plus tard.

Le 4 août, un ver auto-propagateur a infecté plus de 400 paquets npm téléchargés environ 2 milliards de fois par mois, en passant par le propre pipeline CI de leur mainteneur. Les signatures étaient valides. C'est justement le problème.

Quatre ans après l'édition 2021, l'OWASP a publié son nouveau classement à partir des données de 2,8 millions d'applications. Le contrôle d'accès reste premier, la mauvaise configuration grimpe à la deuxième place, la supply chain et la gestion des erreurs font leur entrée. Lecture détaillée, catégorie par catégorie.

Le 31 mars, deux versions piégées d'axios (100 millions de téléchargements par semaine) sont restées en ligne environ trois heures. La dépendance malveillante, elle, avait été préparée la veille pour ne pas ressembler à un paquet tout neuf.