Et il suffit parfois qu\u2019un seul \u00e9l\u00e9ment de cette cha\u00eene soit compromis pour qu\u2019un attaquant entre indirectement dans votre environnement.<\/p>\n\n\n\n
Les campagnes Shai-Hulud<\/strong> en sont une illustration particuli\u00e8rement importante.<\/p>\n\n\n\n Identifi\u00e9 initialement en 2025, Shai-Hulud est d\u00e9sormais r\u00e9f\u00e9renc\u00e9 par MITRE comme un ver de supply chain<\/strong> capable de se propager via des d\u00e9p\u00f4ts de code et des packages npm, tout en cherchant \u00e0 voler des identifiants et des jetons d\u2019acc\u00e8s.<\/p>\n\n\n\n Et en 2026, le probl\u00e8me ne s\u2019est pas arr\u00eat\u00e9.<\/p>\n\n\n\n De nouvelles variantes et campagnes ont continu\u00e9 \u00e0 appara\u00eetre, avec notamment Mini Shai-Hulud<\/strong>, puis plus r\u00e9cemment une variante baptis\u00e9e ChainDrop<\/strong> qui a de nouveau touch\u00e9 massivement l\u2019\u00e9cosyst\u00e8me npm d\u00e9but ao\u00fbt 2026.<\/p>\n\n\n\n Alors, comment une simple d\u00e9pendance JavaScript peut-elle devenir un probl\u00e8me de cybers\u00e9curit\u00e9 \u00e0 l\u2019\u00e9chelle d\u2019une entreprise ?<\/p>\n\n\n\n Pour comprendre Shai-Hulud, il faut d\u2019abord comprendre la notion de software supply chain<\/strong>, ou cha\u00eene d\u2019approvisionnement logicielle.<\/p>\n\n\n\n Lorsque vous d\u00e9veloppez une application, vous n\u2019\u00e9crivez presque jamais 100 % du code vous-m\u00eame.<\/p>\n\n\n\n Vous utilisez par exemple :<\/p>\n\n\n\n C\u2019est parfaitement normal.<\/p>\n\n\n\n Le probl\u00e8me appara\u00eet lorsque l\u2019un de ces composants est compromis.<\/p>\n\n\n\n Au lieu d\u2019attaquer directement votre entreprise, l\u2019attaquant peut chercher \u00e0 compromettre un fournisseur, un mainteneur ou un outil auquel vous faites d\u00e9j\u00e0 confiance<\/strong>.<\/p>\n\n\n\n Le code malveillant peut alors arriver chez vous \u00e0 travers une mise \u00e0 jour apparemment l\u00e9gitime.<\/p>\n\n\n\n C\u2019est ce qui rend ces attaques particuli\u00e8rement dangereuses :<\/p>\n\n\n\n la menace emprunte un chemin que votre syst\u00e8me consid\u00e8re d\u00e9j\u00e0 comme fiable.<\/strong><\/p>\n\n\n\n npm est l\u2019un des gestionnaires de packages les plus utilis\u00e9s dans l\u2019\u00e9cosyst\u00e8me JavaScript et Node.js.<\/p>\n\n\n\n Installer une d\u00e9pendance est extr\u00eamement simple :<\/p>\n\n\n\n Mais derri\u00e8re cette simplicit\u00e9 se cache parfois une immense arborescence de d\u00e9pendances.<\/p>\n\n\n\n Vous installez une biblioth\u00e8que.<\/p>\n\n\n\n Cette biblioth\u00e8que d\u00e9pend d\u2019une autre.<\/p>\n\n\n\n Qui d\u00e9pend elle-m\u00eame de trois autres packages.<\/p>\n\n\n\n Et ainsi de suite.<\/p>\n\n\n\n Votre application peut donc utiliser indirectement du code provenant de projets que vous n\u2019avez jamais choisis explicitement.<\/p>\n\n\n\n C\u2019est ce qu\u2019on appelle les d\u00e9pendances transitives<\/strong>.<\/p>\n\n\n\n Et c\u2019est pr\u00e9cis\u00e9ment ce qui rend une attaque de supply chain capable d\u2019avoir un rayon d\u2019impact tr\u00e8s important.<\/p>\n\n\n\n Shai-Hulud n\u2019est pas simplement un package malveillant isol\u00e9.<\/p>\n\n\n\n MITRE le d\u00e9crit comme un ver de supply chain capable de compromettre des comptes et des d\u00e9p\u00f4ts, de voler des jetons d\u2019acc\u00e8s et d\u2019utiliser ces acc\u00e8s pour continuer sa propagation.<\/p>\n\n\n\n Le principe g\u00e9n\u00e9ral est particuli\u00e8rement dangereux.<\/p>\n\n\n\n Une machine de d\u00e9veloppeur ou un environnement CI\/CD installe une d\u00e9pendance compromise.<\/p>\n\n\n\n Le code malveillant cherche alors des secrets accessibles dans cet environnement.<\/p>\n\n\n\n Cela peut concerner notamment :<\/p>\n\n\n\n des jetons GitHub, des acc\u00e8s npm, des identifiants cloud, des secrets CI\/CD, des cl\u00e9s SSH ou encore certains secrets Kubernetes.<\/strong> Les diff\u00e9rentes vagues Shai-Hulud observ\u00e9es en 2026 ont pr\u00e9cis\u00e9ment cibl\u00e9 ce type d\u2019informations.<\/p>\n\n\n\n Si un jeton vol\u00e9 permet de publier un autre package, de modifier un d\u00e9p\u00f4t ou d\u2019utiliser un pipeline de publication, l\u2019attaque peut alors continuer \u00e0 se propager.<\/p>\n\n\n\n On obtient donc potentiellement :<\/p>\n\n\n\n Package compromis \u2192 machine ou CI\/CD \u2192 secrets vol\u00e9s \u2192 compte compromis \u2192 nouveau package compromis \u2192 nouveaux utilisateurs expos\u00e9s<\/strong><\/p>\n\n\n\n C\u2019est cet effet en cha\u00eene qui transforme une compromission technique en v\u00e9ritable attaque de supply chain.<\/p>\n\n\n\n Les pipelines CI\/CD repr\u00e9sentent une cible extr\u00eamement int\u00e9ressante.<\/p>\n\n\n\n Pourquoi ?<\/p>\n\n\n\n Parce qu\u2019ils disposent justement des autorisations n\u00e9cessaires pour automatiser le d\u00e9veloppement.<\/p>\n\n\n\n Un pipeline peut par exemple :<\/p>\n\n\n\n compiler \u2192 tester \u2192 cr\u00e9er une image \u2192 acc\u00e9der \u00e0 un registre \u2192 publier un package \u2192 d\u00e9ployer dans le cloud.<\/strong><\/p>\n\n\n\n Pour fonctionner, il doit donc souvent disposer de secrets.<\/p>\n\n\n\n Un d\u00e9veloppeur n\u2019a normalement pas besoin d\u2019\u00e9crire directement ces secrets dans son code.<\/p>\n\n\n\n Ils sont g\u00e9n\u00e9ralement stock\u00e9s dans GitHub Actions, GitLab CI, Jenkins, Azure DevOps ou une autre plateforme.<\/p>\n\n\n\n C\u2019est une bonne pratique.<\/p>\n\n\n\n Mais cela ne signifie pas que le secret est automatiquement prot\u00e9g\u00e9 contre tout code ex\u00e9cut\u00e9 dans le pipeline.<\/p>\n\n\n\n Si une d\u00e9pendance compromise parvient \u00e0 ex\u00e9cuter du code pendant une installation ou une compilation, la question devient :<\/p>\n\n\n\n \u00c0 quoi ce processus a-t-il acc\u00e8s ?<\/strong><\/p>\n<\/blockquote>\n\n\n\n Les campagnes Mini Shai-Hulud observ\u00e9es au printemps 2026 ont justement vis\u00e9 les environnements de build et les runners CI\/CD afin d\u2019y r\u00e9cup\u00e9rer des informations sensibles.<\/p>\n\n\n\n Il serait tentant de penser :<\/p>\n\n\n\n \u00ab Nous utilisons GitHub Actions, OIDC et des m\u00e9canismes de provenance, donc nous sommes prot\u00e9g\u00e9s. \u00bb<\/p>\n<\/blockquote>\n\n\n\n Malheureusement, ce n\u2019est pas toujours suffisant.<\/p>\n\n\n\n En mai 2026, une vague Mini Shai-Hulud li\u00e9e notamment \u00e0 TanStack a compromis des m\u00e9canismes de publication en s\u2019attaquant directement au workflow de build.<\/p>\n\n\n\n Akamai a document\u00e9 une attaque exploitant le pipeline CI et le m\u00e9canisme de publication OIDC de npm.<\/p>\n\n\n\n Cela illustre une distinction fondamentale.<\/p>\n\n\n\n Une signature ou une attestation de provenance peut permettre de v\u00e9rifier :<\/p>\n\n\n\n \u00ab Ce package a bien \u00e9t\u00e9 produit par le pipeline attendu. \u00bb<\/strong><\/p>\n\n\n\n Mais si le pipeline lui-m\u00eame est compromis, cela ne garantit pas n\u00e9cessairement :<\/p>\n\n\n\n \u00ab Le code produit par ce pipeline est s\u00fbr. \u00bb<\/strong><\/p>\n\n\n\n Autrement dit :<\/p>\n\n\n\n Les campagnes Shai-Hulud ne se r\u00e9sument pas \u00e0 un incident unique.<\/p>\n\n\n\n Au printemps 2026, diff\u00e9rentes vagues ont touch\u00e9 plusieurs \u00e9cosyst\u00e8mes et projets.<\/p>\n\n\n\n Le NHS britannique a par exemple publi\u00e9 en mai une alerte concernant Mini Shai-Hulud, citant notamment des packages li\u00e9s \u00e0 TanStack, Mistral AI, UiPath et OpenSearch<\/strong>.<\/p>\n\n\n\n Quelques jours plus tard, une nouvelle vague touchait plus de 300 packages de l\u2019\u00e9cosyst\u00e8me En juin, des packages officiels Puis, d\u00e9but ao\u00fbt 2026, une nouvelle variante baptis\u00e9e ChainDrop<\/strong> a encore \u00e9tendu le ph\u00e9nom\u00e8ne.<\/p>\n\n\n\n Selon les informations rapport\u00e9es \u00e0 partir des recherches d\u2019Aikido, plus de 1 300 versions de packages npm<\/strong> ont \u00e9t\u00e9 compromises dans cette campagne, avec des biblioth\u00e8ques tr\u00e8s utilis\u00e9es telles que Keyv et Cacheable dans la cha\u00eene d\u2019impact.<\/p>\n\n\n\n Le probl\u00e8me doit donc \u00eatre consid\u00e9r\u00e9 comme une famille de techniques et de campagnes \u00e9volutives<\/strong>, plut\u00f4t qu\u2019une menace que l\u2019on pourrait simplement d\u00e9clarer termin\u00e9e.<\/p>\n\n\n\n Une erreur fr\u00e9quente consiste \u00e0 associer popularit\u00e9 et s\u00e9curit\u00e9.<\/p>\n\n\n\n Un d\u00e9veloppeur peut se dire :<\/p>\n\n\n\n \u00ab Ce package est t\u00e9l\u00e9charg\u00e9 des millions de fois, donc il doit \u00eatre fiable. \u00bb<\/p>\n<\/blockquote>\n\n\n\n Ce raisonnement est compr\u00e9hensible, mais insuffisant.<\/p>\n\n\n\n Un package peut \u00eatre parfaitement l\u00e9gitime pendant plusieurs ann\u00e9es, puis \u00eatre compromis parce que :<\/p>\n\n\n\n Le risque ne vient donc pas forc\u00e9ment du fait d\u2019avoir choisi un projet douteux.<\/p>\n\n\n\n Il peut provenir de la compromission ult\u00e9rieure d\u2019un projet parfaitement l\u00e9gitime<\/strong>.<\/p>\n\n\n\n Il n\u2019existe pas de bouton permettant de supprimer totalement le risque li\u00e9 \u00e0 la supply chain.<\/p>\n\n\n\n L\u2019objectif est donc d\u2019appliquer plusieurs couches de protection.<\/p>\n\n\n\n Les fichiers de verrouillage comme :<\/p>\n\n\n\n ou<\/p>\n\n\n\n permettent de conserver une vision d\u00e9terministe des versions install\u00e9es.<\/p>\n\n\n\n Il est g\u00e9n\u00e9ralement pr\u00e9f\u00e9rable qu\u2019une nouvelle version de d\u00e9pendance ne se retrouve pas en production simplement parce qu\u2019elle vient d\u2019\u00eatre publi\u00e9e quelques minutes auparavant.<\/p>\n\n\n\n Les mises \u00e0 jour doivent faire partie d\u2019un processus contr\u00f4l\u00e9.<\/p>\n\n\n\n Les outils SCA \u2014 Software Composition Analysis<\/strong> \u2014 peuvent analyser les d\u00e9pendances utilis\u00e9es par une application.<\/p>\n\n\n\n Ils permettent notamment de d\u00e9tecter :<\/p>\n\n\n\n Mais aucun scanner n\u2019est parfait.<\/p>\n\n\n\n Une attaque toute r\u00e9cente peut ex\u00e9cuter son code avant m\u00eame que les outils de s\u00e9curit\u00e9 aient identifi\u00e9 le package.<\/p>\n\n\n\n Aikido soulignait pr\u00e9cis\u00e9ment ce probl\u00e8me lors des vagues Mini Shai-Hulud : dans certains cas, le payload s\u2019ex\u00e9cutait au moment de l\u2019installation, avant que la d\u00e9tection g\u00e9n\u00e9ralis\u00e9e ne soit disponible.<\/p>\n\n\n\n Le scanner doit donc \u00eatre consid\u00e9r\u00e9 comme une couche de s\u00e9curit\u00e9<\/strong>, pas comme l\u2019unique protection.<\/p>\n\n\n\n Un pipeline CI n\u2019a pas besoin d\u2019avoir acc\u00e8s \u00e0 tous les secrets de l\u2019entreprise.<\/p>\n\n\n\n C\u2019est ici que le principe du moindre privil\u00e8ge<\/strong> devient essentiel.<\/p>\n\n\n\n Un pipeline destin\u00e9 uniquement \u00e0 ex\u00e9cuter des tests ne devrait pas disposer automatiquement :<\/p>\n\n\n\n des droits de production, des cl\u00e9s cloud administrateur et des secrets de d\u00e9ploiement.<\/strong><\/p>\n\n\n\n Plus les permissions sont limit\u00e9es, plus l\u2019impact d\u2019une d\u00e9pendance compromise peut \u00eatre contenu.<\/p>\n\n\n\n On retrouve ici une r\u00e8gle classique de cybers\u00e9curit\u00e9 :<\/p>\n\n\n\n Il peut \u00e9galement \u00eatre pertinent de s\u00e9parer :<\/p>\n\n\n\n Build \u2192 Tests \u2192 Publication \u2192 D\u00e9ploiement<\/strong><\/p>\n\n\n\n plut\u00f4t que d\u2019ex\u00e9cuter toutes ces \u00e9tapes dans un environnement disposant simultan\u00e9ment de tous les acc\u00e8s.<\/p>\n\n\n\n Un environnement de build compromis ne devrait id\u00e9alement pas pouvoir imm\u00e9diatement devenir administrateur de l\u2019infrastructure de production.<\/p>\n\n\n\n Cette segmentation r\u00e9duit le blast radius<\/strong>, c\u2019est-\u00e0-dire l\u2019ampleur potentielle d\u2019une compromission.<\/p>\n\n\n\n Les secrets permanents constituent une cible particuli\u00e8rement int\u00e9ressante.<\/p>\n\n\n\n Une cl\u00e9 cloud valable pendant plusieurs ann\u00e9es peut rester exploitable longtemps apr\u00e8s son vol.<\/p>\n\n\n\n Les m\u00e9canismes modernes permettant d\u2019utiliser des identifiants temporaires<\/strong>, des r\u00f4les ou de l\u2019OIDC r\u00e9duisent cette fen\u00eatre d\u2019exploitation.<\/p>\n\n\n\n Mais, comme l\u2019ont montr\u00e9 certaines campagnes 2026, cela ne supprime pas la n\u00e9cessit\u00e9 de s\u00e9curiser le pipeline lui-m\u00eame.<\/p>\n\n\n\n Il faut donc combiner :<\/p>\n\n\n\n identifiants courts + moindre privil\u00e8ge + pipeline s\u00e9curis\u00e9 + surveillance.<\/strong><\/p>\n\n\n\n Les comptes GitHub, npm ou autres outils de d\u00e9veloppement doivent \u00eatre trait\u00e9s comme des comptes sensibles.<\/p>\n\n\n\n Cela implique notamment :<\/p>\n\n\n\n MFA<\/strong>, gestion rigoureuse des sessions, limitation des jetons, rotation des secrets et suppression des acc\u00e8s devenus inutiles.<\/p>\n\n\n\n L\u2019importance de ces protections a encore \u00e9t\u00e9 illustr\u00e9e en mai 2026 lorsque npm a invalid\u00e9 des jetons granulaires disposant de droits d\u2019\u00e9criture et pouvant contourner la 2FA, dans le contexte des campagnes Mini Shai-Hulud.<\/p>\n\n\n\n Il est difficile de prot\u00e9ger une supply chain si personne ne sait r\u00e9ellement ce qu\u2019elle contient.<\/p>\n\n\n\n C\u2019est ici qu\u2019un SBOM \u2014 Software Bill of Materials<\/strong> \u2014 peut \u00eatre utile.<\/p>\n\n\n\n On peut le comparer \u00e0 la liste des ingr\u00e9dients d\u2019un logiciel.<\/p>\n\n\n\n Il permet de conserver une vision structur\u00e9e des composants int\u00e9gr\u00e9s dans une application.<\/p>\n\n\n\n Lorsqu\u2019une vuln\u00e9rabilit\u00e9 ou une compromission importante appara\u00eet, la question n\u2019est alors plus :<\/p>\n\n\n\n \u00ab Est-ce qu\u2019on utilise peut-\u00eatre cette librairie quelque part ? \u00bb<\/p>\n<\/blockquote>\n\n\n\n mais :<\/p>\n\n\n\n \u00ab Quels produits, quelles versions et quels environnements utilisent cette d\u00e9pendance ? \u00bb<\/strong><\/p>\n<\/blockquote>\n\n\n\n Cette capacit\u00e9 \u00e0 r\u00e9pondre rapidement peut faire une \u00e9norme diff\u00e9rence lors d\u2019un incident.<\/p>\n\n\n\n Supprimer le package et relancer un Si du code malveillant a d\u00e9j\u00e0 \u00e9t\u00e9 ex\u00e9cut\u00e9, il faut partir du principe qu\u2019il a potentiellement pu acc\u00e9der aux secrets disponibles dans cet environnement.<\/p>\n\n\n\n Dans le cas de la r\u00e9cente campagne ChainDrop, les chercheurs ont recommand\u00e9 de consid\u00e9rer un poste de d\u00e9veloppement ou un runner CI\/CD ayant ex\u00e9cut\u00e9 une version contamin\u00e9e comme potentiellement compromis<\/strong>, m\u00eame apr\u00e8s suppression du package.<\/p>\n\n\n\n La r\u00e9ponse peut alors impliquer :<\/p>\n\n\n\n isoler l\u2019environnement \u2192 rechercher les traces de compromission \u2192 r\u00e9voquer les sessions \u2192 renouveler les secrets \u2192 v\u00e9rifier les d\u00e9p\u00f4ts et workflows \u2192 reconstruire proprement l\u2019environnement.<\/strong><\/p>\n\n\n\n C\u2019est exactement ce qu\u2019OpenAI a expliqu\u00e9 avoir fait apr\u00e8s avoir identifi\u00e9 en mai 2026 deux postes internes affect\u00e9s par la compromission TanStack : isolation, r\u00e9vocation de sessions, rotation des identifiants concern\u00e9s et restriction temporaire de certains workflows de d\u00e9ploiement. OpenAI indiquait n\u2019avoir trouv\u00e9 aucune preuve d\u2019acc\u00e8s aux donn\u00e9es utilisateurs ni de compromission de ses syst\u00e8mes de production.<\/p>\n\n\n\n Le message principal n\u2019est pas :<\/p>\n\n\n\n \u00ab N\u2019utilisez plus npm. \u00bb<\/p>\n<\/blockquote>\n\n\n\n Ni m\u00eame :<\/p>\n\n\n\n \u00ab N\u2019utilisez plus l\u2019open source. \u00bb<\/p>\n<\/blockquote>\n\n\n\n Ce serait irr\u00e9aliste.<\/p>\n\n\n\n L\u2019open source est aujourd\u2019hui un \u00e9l\u00e9ment essentiel du d\u00e9veloppement logiciel.<\/p>\n\n\n\n La bonne conclusion est plut\u00f4t :<\/p>\n\n\n\n La cybers\u00e9curit\u00e9 d\u2019une application ne commence donc plus uniquement \u00e0 la fronti\u00e8re du serveur de production.<\/p>\n\n\n\n Elle commence d\u00e8s :<\/p>\n\n\n\n le poste d\u00e9veloppeur \u2192 le d\u00e9p\u00f4t Git \u2192 les d\u00e9pendances \u2192 le pipeline CI\/CD \u2192 le registre \u2192 l\u2019infrastructure \u2192 la production.<\/strong><\/p>\n\n\n\n C\u2019est toute cette cha\u00eene qu\u2019il faut s\u00e9curiser.<\/p>\n\n\n\n Les outils modernes permettent aujourd\u2019hui de cr\u00e9er une application extr\u00eamement rapidement.<\/p>\n\n\n\n Frameworks, biblioth\u00e8ques open source, containers, CI\/CD et d\u00e9sormais assistants IA acc\u00e9l\u00e8rent \u00e9norm\u00e9ment le d\u00e9veloppement.<\/p>\n\n\n\n Mais cette vitesse augmente \u00e9galement le nombre d\u2019\u00e9l\u00e9ments que l\u2019on int\u00e8gre.<\/p>\n\n\n\n Un d\u00e9veloppeur peut ajouter une nouvelle biblioth\u00e8que en quelques secondes.<\/p>\n\n\n\n Une IA de d\u00e9veloppement peut elle aussi proposer puis installer automatiquement plusieurs d\u00e9pendances.<\/p>\n\n\n\n Cette facilit\u00e9 rend progressivement indispensable une politique claire :<\/p>\n\n\n\n quels packages pouvons-nous utiliser ?<\/strong><\/p>\n\n\n\n qui valide les nouvelles d\u00e9pendances ?<\/strong><\/p>\n\n\n\n comment sont-elles mises \u00e0 jour ?<\/strong><\/p>\n\n\n\n quels outils les analysent ?<\/strong><\/p>\n\n\n\n quels secrets sont accessibles pendant leur installation ?<\/strong><\/p>\n\n\n\n Ces questions ne concernent plus uniquement les tr\u00e8s grandes entreprises.<\/p>\n\n\n\n Une PME disposant d\u2019une application m\u00e9tier, d\u2019un site e-commerce ou d\u2019un logiciel SaaS peut elle aussi d\u00e9pendre d\u2019une importante cha\u00eene de composants externes.<\/p>\n\n\n\n Chez APT Informa<\/strong>, nous consid\u00e9rons que la s\u00e9curit\u00e9 doit \u00eatre int\u00e9gr\u00e9e d\u00e8s la conception des applications et des infrastructures.<\/p>\n\n\n\n Cela signifie notamment prendre en compte :<\/p>\n\n\n\n le code<\/strong>, mais aussi les d\u00e9pendances, les d\u00e9p\u00f4ts Git, la CI\/CD, les secrets, l\u2019infrastructure et les m\u00e9canismes de d\u00e9ploiement.<\/strong><\/p>\n\n\n\n Lors de la conception ou de l\u2019\u00e9volution d\u2019une application, plusieurs mesures peuvent \u00eatre mises en place selon le contexte :<\/p>\n\n\n\n contr\u00f4le et analyse des d\u00e9pendances, automatisation des mises \u00e0 jour, isolation des environnements, gestion s\u00e9curis\u00e9e des secrets, restriction des permissions CI\/CD, scans de s\u00e9curit\u00e9 et supervision des composants utilis\u00e9s.<\/p>\n\n\n\n Le but n\u2019est pas d\u2019empiler vingt outils de cybers\u00e9curit\u00e9.<\/p>\n\n\n\n Le but est de construire une cha\u00eene :<\/p>\n\n\n\n Shai-Hulud montre \u00e0 quel point une application peut \u00eatre compromise sans que l\u2019attaquant n\u2019attaque directement son code m\u00e9tier<\/strong>.<\/p>\n\n\n\n Un composant l\u00e9gitime peut \u00eatre d\u00e9tourn\u00e9.<\/p>\n\n\n\n Un compte de mainteneur peut \u00eatre compromis.<\/p>\n\n\n\n Un pipeline peut publier une version malveillante.<\/p>\n\n\n\n Et quelques minutes plus tard, cette version peut \u00eatre install\u00e9e automatiquement dans de nombreux environnements.<\/p>\n\n\n\n La question ne doit donc plus \u00eatre uniquement :<\/p>\n\n\n\n \u00ab Notre application contient-elle des vuln\u00e9rabilit\u00e9s ? \u00bb<\/strong><\/p>\n\n\n\n Mais aussi :<\/p>\n\n\n\n Vous d\u00e9veloppez une application, utilisez des pipelines CI\/CD ou souhaitez renforcer la s\u00e9curit\u00e9 de votre infrastructure de d\u00e9veloppement ?<\/p>\n\n\n\n APT Informa peut vous accompagner dans l\u2019analyse de votre cha\u00eene logicielle, la s\u00e9curisation des d\u00e9pendances, la gestion des secrets et la mise en place d\u2019une approche DevSecOps adapt\u00e9e \u00e0 votre organisation.<\/strong><\/p>\n\n\n\n L\u2019objectif : r\u00e9duire la surface d\u2019attaque sans ralentir inutilement vos \u00e9quipes de d\u00e9veloppement.<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":" Shai-Hulud illustre les nouveaux risques li\u00e9s aux d\u00e9pendances open source et aux pipelines CI\/CD. D\u00e9couvrez comment une attaque de supply chain npm peut se propager et quelles mesures permettent de prot\u00e9ger ses applications, ses secrets et son infrastructure.<\/p>\n","protected":false},"author":1,"featured_media":53,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10,4,5],"tags":[95,23,99,96,97,92,100,101,102,94,91,93],"class_list":["post-52","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","category-developpement-web","category-infrastructure","tag-ci-cd","tag-cybersecurite","tag-dependances","tag-devsecops","tag-github","tag-npm","tag-open-source","tag-sbom","tag-securite-des-secrets","tag-securite-logicielle","tag-shai-hulud","tag-supply-chain"],"_links":{"self":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/52","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/comments?post=52"}],"version-history":[{"count":1,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/52\/revisions"}],"predecessor-version":[{"id":55,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/posts\/52\/revisions\/55"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/media\/53"}],"wp:attachment":[{"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/media?parent=52"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/categories?post=52"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.aptinforma.com\/blog\/wp-json\/wp\/v2\/tags?post=52"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n\n\n\nQu\u2019est-ce qu\u2019une attaque de supply chain logicielle ?<\/h1>\n\n\n\n
\n
\n\n\n\nnpm : un \u00e9cosyst\u00e8me extr\u00eamement puissant\u2026 mais tr\u00e8s interconnect\u00e9<\/h1>\n\n\n\n
npm install<\/code><\/p>\n\n\n\n
\n\n\n\nQue fait Shai-Hulud ?<\/h1>\n\n\n\n
![\"Infographie](\"https:\/\/aptinforma.com\/wp-content\/uploads\/2026\/08\/supply-chain.png\")
<\/figure>\n\n\n\n
\n\n\n\nPourquoi les pipelines CI\/CD sont-ils particuli\u00e8rement sensibles ?<\/h1>\n\n\n\n
\n
\n\n\n\nM\u00eame une cha\u00eene de publication moderne peut \u00eatre attaqu\u00e9e<\/h1>\n\n\n\n
\n
La confiance dans la cha\u00eene ne vaut que si chaque maillon est ma\u00eetris\u00e9.<\/h2>\n\n\n\n
\n\n\n\nUne menace qui a continu\u00e9 \u00e0 \u00e9voluer en 2026<\/h1>\n\n\n\n
@antv<\/code>.<\/p>\n\n\n\n@redhat-cloud-services<\/code> ont \u00e9galement \u00e9t\u00e9 compromis, avec 96 versions r\u00e9parties sur 32 packages d\u00e9tect\u00e9es par Aikido.<\/p>\n\n\n\n
\n\n\n\nUne d\u00e9pendance populaire n\u2019est pas automatiquement une d\u00e9pendance s\u00fbre<\/h1>\n\n\n\n
\n
\n
\n\n\n\nComment r\u00e9duire le risque ?<\/h1>\n\n\n\n
1. Ma\u00eetriser les versions r\u00e9ellement install\u00e9es<\/h2>\n\n\n\n
package-lock.json<\/code><\/p>\n\n\n\npnpm-lock.yaml<\/code><\/p>\n\n\n\nyarn.lock<\/code><\/p>\n\n\n\n
\n\n\n\n2. Scanner les d\u00e9pendances<\/h2>\n\n\n\n
\n
\n\n\n\n3. R\u00e9duire les privil\u00e8ges des environnements CI\/CD<\/h1>\n\n\n\n
Un secret inaccessible ne peut pas \u00eatre vol\u00e9 par ce processus.<\/h2>\n\n\n\n
\n\n\n\n4. S\u00e9parer les diff\u00e9rentes \u00e9tapes<\/h1>\n\n\n\n
\n\n\n\n5. Utiliser des identifiants temporaires lorsque c\u2019est possible<\/h1>\n\n\n\n
\n\n\n\n6. Prot\u00e9ger les comptes des mainteneurs et d\u00e9veloppeurs<\/h1>\n\n\n\n
\n\n\n\n7. Savoir exactement quelles d\u00e9pendances sont utilis\u00e9es<\/h1>\n\n\n\n
\n
\n
\n\n\n\nQue faire si une d\u00e9pendance compromise a d\u00e9j\u00e0 \u00e9t\u00e9 install\u00e9e ?<\/h1>\n\n\n\n
npm install<\/code> propre n\u2019est pas n\u00e9cessairement suffisant.<\/p>\n\n\n\n
\n\n\n\nLe v\u00e9ritable enseignement de Shai-Hulud<\/h1>\n\n\n\n
\n
\n
Une d\u00e9pendance externe fait partie de votre surface d\u2019attaque.<\/h2>\n\n\n\n
\n\n\n\nD\u00e9veloppement rapide ne doit pas signifier confiance aveugle<\/h1>\n\n\n\n
\n\n\n\nComment APT Informa aborde la s\u00e9curit\u00e9 de la supply chain<\/h1>\n\n\n\n
compr\u00e9hensible, ma\u00eetris\u00e9e, surveill\u00e9e et capable de r\u00e9agir lorsqu\u2019un composant externe devient dangereux.<\/strong><\/h2>\n\n\n\n
\n\n\n\nCe qu\u2019il faut retenir<\/h1>\n\n\n\n
\u00ab Peut-on r\u00e9ellement faire confiance \u00e0 toute la cha\u00eene qui construit notre application ? \u00bb<\/strong><\/h1>\n\n\n\n
\n\n\n\nAPT Informa peut vous accompagner<\/h2>\n\n\n\n