[{"data":1,"prerenderedAt":72},["ShallowReactive",2],{"sujet-tech-cyberattaques-f7bea33a071569b0":3},{"sujet":4,"aJournal":39,"liesSujets":40,"voisins":41},{"id":5,"rubrique":6,"sousTheme":7,"region":8,"titre":9,"resume":10,"date":11,"nbSources":12,"articles":13,"extraitOfficiel":17,"attribution":35,"extraitUrl":16,"faitsCles":36},"tech-cyberattaques-f7bea33a071569b0","tech","cyberattaques",null,"Attaque par la chaîne d’approvisionnement de plusieurs paquets NPM","Le CERT-FR a connaissance d'une vague de compromission de paquets NPM ayant débuté le 23 novembre 2025. En date du 26 novembre 2025, plus de 700 paquets ont été affectés. Ce nombre important est dû à l'auto-réplication du logiciel malveillant. Seules quelques versions de ces paquets, les plus récentes, ont été compromises.","2025-11-27",1,[14],{"titre":9,"editeur":15,"url":16,"date":11},"CERT-FR — ANSSI","https:\u002F\u002Fwww.cert.ssi.gouv.fr\u002Factualite\u002FCERTFR-2025-ACT-051\u002F",[18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34],"Le CERT-FR a connaissance d'une vague de compromission de paquets NPM ayant débuté le 23 novembre 2025. En date du 26 novembre 2025, plus de 700 paquets ont été affectés. Ce nombre important est dû à l'auto-réplication du logiciel malveillant. Seules quelques versions de ces paquets, les plus récentes, ont été compromises. Plusieurs d'entre elles ont été supprimées par les développeurs par la suite.","Cette campagne est nommée Sha1-Hulud 2.0, Shai-Hulud ou Shai Hulud dans plusieurs billets de blogues. Elle constitue la deuxième vague après celle présentée en septembre 2025, dans le bulletin d'actualité CERTFR-2025-ACT-040, et présente un niveau de sophistication accru.","Des listes de paquets concernés par cette vague ainsi que des indicateurs de compromissions sont disponibles (cf. section Documentation). Ces informations techniques n'ont pas été qualifiées par le CERT-FR.","Les éditeurs PostHog et Postman précisent les versions de leurs paquets qui ont été compromises [1][2].","Lorsqu'une version malveillante d'un paquet a été téléchargée, un script de pré-installation est exécuté et peut effectuer les actions suivantes :","- récupération de différents secrets présents sur la machine compromise au travers de variables d'environnement ou de fichier de configuration. L'outil TruffleHog est également utilisé dans cette optique ;","## Recommandations","En raison de l'évolution de la campagne, le CERT-FR recommande de :","- chercher les différents indicateurs de compromissions présentés dans les billets de blogue et en particulier le fichier bun_environment.js ;","- vérifier l'ensemble des paquets NPM installés et leurs versions et les comparer aux versions indiquées comme compromises ;","- geler temporairement la mise à jour des paquets NPM et utiliser des versions connues comme légitimes ;","- vérifier l'intégrité des plateformes d'intégration continue et des potentiels paquets NPM maintenus ;","De plus les fiches réflexes relatives à la compromission système peuvent être consultées [3][4].","## Documentation","- [1] Billet de blogue de Postman du 24 novembre 2025 relatif à la compromission de certains paquets NPM","- [2] Billet de blogue de PostHog du 25 novembre 2025 relatif à la compromission de certains paquets NPM","- Billet de blogue de Wiz du 24 novembre 2025 relatif à la campagne Shai-Hulud 2.0","Texte officiel reproduit — ANSSI, Licence Ouverte \u002F Etalab 2.0",[37,38],"Le CERT-FR a connaissance d'une vague de compromission de paquets NPM ayant débuté le 23 novembre 2025.","En date du 26 novembre 2025, plus de 700 paquets ont été affectés.",true,[],[42,45,48,51,54,57,60,63,66,69],{"nom":43,"path":44},"Multiples vulnérabilités dans Microsoft Sharepoint (22 juillet 2026)","\u002Fsujet\u002Ftech-cyberattaques-c7cefb778e0d79e4",{"nom":46,"path":47},"Multiples vulnérabilités dans les produits IBM (25 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-3ef18b5f44e9dd37",{"nom":49,"path":50},"Multiples vulnérabilités dans CPython (01 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-c31045fa0bfba673",{"nom":52,"path":53},"Vulnérabilités de produits du secteur santé : Retour d'expérience du CERT Santé et du CERT-FR (02 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-705de23f4ef2d2bc",{"nom":55,"path":56},"Vulnérabilité dans Fortinet FortiMail (02 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-8f84fc91b835d7e4",{"nom":58,"path":59},"Vulnérabilité dans Cisco Catalyst SD-WAN (01 octobre 2026)","\u002Fsujet\u002Ftech-cyberattaques-b13afccb7820596a",{"nom":61,"path":62},"Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient une nouvelle ressource pour adopter les bons réflexes face à une violation de données","\u002Fsujet\u002Ftech-cyberattaques-42b7525feb707844",{"nom":64,"path":65},"Vulnérabilité dans Metabase (10 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-7736d2482fb0962d",{"nom":67,"path":68},"Multiples vulnérabilités dans HPE Aruba Networking Instant On (30 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-003834c356ca8979",{"nom":70,"path":71},"Point de situation de l’opération REACTIV – septembre 2026 (30 septembre 2026)","\u002Fsujet\u002Ftech-cyberattaques-c6ad0bf2efe26a1b",1791137628770]