Derniers articles
Blog sur la sécurité applicative
Analyses de CVE, méthodes de revue de code et conseils pratiques pour celles et ceux qui conçoivent et exploitent des logiciels.
PHP2Shell : CVE-2026-109618 et la frontière du runtime
Analyse technique de PHP2Shell : CVE-2026-109618, étapes de corruption mémoire proposées, éléments sur les versions de PHP, dépendances de configuration et vérification du correctif.
Lire l’articleGhostAction : supprimer un secret ne le révoque pas
GhostAction exhume d’anciens secrets. Distinguez la rotation du nettoyage de l’historique Git, puis vérifiez que les identifiants exposés et la voie d’injection dans les workflows sont bien fermés.
Lire l’articleLMCache CVE-2026-105192 : l’exécution avant le rejet
LMCache CVE-2026-105192 atteint pickle pendant le décodage des messages. Suivez le correctif, les appelants du transport et les preuves nécessaires pour faire confiance à un test de non-régression négatif.
Lire l’articleConnectWise Cloud Backup : l’application n’a jamais eu besoin de MFA
L’incident ConnectWise Cloud Backup révèle les écarts entre la MFA des utilisateurs, le consentement des applications et la révocation des jetons. Découvrez quelles preuves établissent réellement le confinement.
Lire l’articleInstaller des outils de code par IA sans se fier au nom d’un paquet
Installez les outils de code par IA depuis une source vérifiée. Contrôlez l’identité de l’éditeur, l’intégrité de l’artefact et les droits d’exécution avant de partager des dépôts ou des identifiants.
Lire l’articleCVE-2026-104935 : Ivanti fait confiance à l’en-tête, pas à l’URL
CVE-2026-104935 enchaîne un en-tête de routage et une course lors d’un téléversement pour obtenir l’exécution de code sur Ivanti Connect Secure. Le root complet exige un troisième bogue, toujours non corrigé.
Lire l’articleConfusion d’algorithme dans fast-jwt : corrigée à la troisième tentative
fast-jwt a corrigé trois fois la confusion d’algorithme RSA vers HS256. CVE-2026-107722 montre pourquoi les deux premiers correctifs ont fermé une entrée plutôt que la règle.
Lire l’articleCVE-2026-85097 : Bricksforge fait confiance au nom de fichier fourni
CVE-2026-85097 permet à un visiteur non authentifié de déposer un shell PHP via un formulaire Bricksforge. Voici la faille de confiance en cause et comment vérifier vos fichiers téléversés.
Lire l’articleCVE-2026-21589 : la lecture de fichiers d’Atlassian qui se cache derrière ::
CVE-2026-21589 est une lecture de fichiers sans authentification dans huit produits Data Center d’Atlassian. Voici l’erreur d’ordre qui en est la cause, et comment vérifier votre propre code.
Lire l’articleCompromission d’axios sur npm : comment la chaîne de confiance a cédé
La compromission d’axios sur npm n’était pas un bogue de code. Suivez les six maillons de la chaîne de confiance, le contrôle qui brise chacun d’eux, et ce que change npm 12.
Lire l’articleAprès React2Shell : trois frontières de sécurité indispensables à toute revue de composants serveur
Une méthode technique de revue pour React2Shell et CVE-2026-23864 : séparez le décodage sûr, les contrôles de permission et le travail borné, puis vérifiez le build déployé.
Lire l’articleL’attaque Axios de 2026 : pourquoi un arbre de dépendances propre ne disculpe pas un runner de build
Une analyse fondée sur les preuves de la compromission de la chaîne d’approvisionnement d’Axios : retracer l’installation des paquets, l’exécution de code et la portée des identifiants avant de déclarer la reprise terminée.
Lire l’articleCVE-2024-26855 : quand un attribut absent devient un déréférencement de NULL
Un correctif du pilote ice de Linux illustre une erreur fréquente en revue de code : traiter le résultat optionnel d’un parseur comme un objet garanti.
Lire l’articleCVE-2025-37858 : une destination 64 bits ne corrige pas un décalage trop étroit
Un calcul des groupes d’allocation de JFS montre pourquoi la revue de code doit examiner la largeur d’une opération avant que son résultat ne soit affecté.
Lire l’articleRevue de code sécurité ou test d’intrusion : que faut-il commander ?
Choisissez la mission en fonction de la question à laquelle votre équipe produit doit répondre, des accès disponibles et du changement à mener.
Lire l’article
08Contact
Vous livrez un produit qui traite des données d’utilisateurs ?
Envoyez-moi un bref descriptif. Je réponds sous trois jours avec des questions ou une première proposition, et le prix est fixé par écrit avant le démarrage.