Dépendances & supply chain

Le rapport annuel de Patchstack recense 42 % de failles en plus qu'en 2024, presque toutes dans les plugins et les thèmes. 46 % n'avaient aucun correctif au moment de leur publication, et les plus graves sont exploitées en masse en cinq heures médianes. Anatomie de la faille la plus exploitée, et comment s'en protéger.

Le CDC, Deloitte, PwC, Berkeley, Stanford : le groupe Hazy Hawk a pris le contrôle de sous-domaines d'organisations majeures sans rien pirater, en réservant les ressources cloud qu'elles avaient supprimées. En avril 2026, une nouvelle vague a visé 34 universités américaines. Comment fonctionne un subdomain takeover, et pourquoi c'est plus grave qu'une page de spam.

Le 4 août, un ver auto-propagateur a infecté plus de 400 paquets npm téléchargés environ 2 milliards de fois par mois, en passant par le propre pipeline CI de leur mainteneur. Les signatures étaient valides. C'est justement le problème.

Le 31 mars, deux versions piégées d'axios (100 millions de téléchargements par semaine) sont restées en ligne environ trois heures. La dépendance malveillante, elle, avait été préparée la veille pour ne pas ressembler à un paquet tout neuf.