https://cyberveille.ch/tags/package-poisoning/ Recent content in Package-Poisoning on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 27 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-27-github-et-pypi-introduisent-des-mecanismes-temporels-contre-les-attaques-supply-chain/ Mon, 27 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-27-github-et-pypi-introduisent-des-mecanismes-temporels-contre-les-attaques-supply-chain/ <h2 id="-contexte">🛡️ Contexte</h2> <p>Publié le 26 juillet 2026 sur BleepingComputer, cet article rapporte l&rsquo;introduction de nouvelles mesures défensives temporelles par <strong>GitHub</strong> et <strong>PyPI</strong> (Python Package Index) pour limiter l&rsquo;impact des attaques sur la <strong>chaîne d&rsquo;approvisionnement logicielle (supply chain)</strong>.</p> <p>Ces mesures font suite à plusieurs incidents notables survenus au cours de l&rsquo;année écoulée, notamment :</p> <ul> <li>Les attaques ciblant les packages <strong>&lsquo;chalk&rsquo;</strong> et <strong>&lsquo;debug&rsquo;</strong></li> <li>L&rsquo;opération <strong>s1ngularity</strong></li> <li>La campagne <strong>Shai-Hulud</strong></li> <li>L&rsquo;attaque supply chain <strong>GhostAction</strong></li> </ul> <h2 id="-mécanisme-dependabot-cooldown-github">⏱️ Mécanisme Dependabot Cooldown (GitHub)</h2> <p><strong>Dependabot</strong>, l&rsquo;outil de gestion des dépendances de GitHub, intègre désormais un <strong>délai de 72 heures (3 jours)</strong> avant d&rsquo;appliquer automatiquement les mises à jour de packages. L&rsquo;objectif est de réduire le risque d&rsquo;adoption automatique de <strong>packages malveillants nouvellement publiés</strong>.</p>