Le plugin Jenkins de Checkmarx compromis par TeamPCP dans une série d'attaques supply-chain

Fri, 15 May 2026 00:00:00 +0000

🔍 Contexte

Source : BleepingComputer, publié le 11 mai 2026. Checkmarx, société spécialisée en sécurité applicative, a alerté le week-end du 10-11 mai 2026 de la publication d’une version malveillante de son plugin Jenkins AST sur le Jenkins Marketplace. Il s’agit du troisième incident d’une série d’attaques supply-chain subies par Checkmarx depuis fin mars 2026.

🎯 Déroulement de l’attaque

Le groupe TeamPCP a obtenu des credentials d’accès aux dépôts GitHub de Checkmarx lors d’une attaque antérieure sur le scanner de vulnérabilités Trivy en mars 2026. Ces credentials n’ayant pas été révoqués, les attaquants ont maintenu un accès pendant au moins un mois.

KICS Analysis Tool (Version Malveillante) on CyberVeille

Le plugin Jenkins de Checkmarx compromis par TeamPCP dans une série d'attaques supply-chain

🔍 Contexte

🎯 Déroulement de l’attaque