Actualité et retours d’expérience
Blog, page 2
Ici, je partage des idées personnelles, des actualités marquantes de l’écosystème DevOps et cloud, des billets d’humeur et des réflexions rapides. Les guides de référence, eux, vivent dans la documentation.
- 123 billets idées, actualités et réflexions rapides
- oct. 2026 dernier billet
Billets, page 2
-
Megalodon : pourquoi OIDC seul ne suffit pas
Depuis deux ans, je répète la même consigne : passez à OIDC, supprimez vos clés d'accès statiques des secrets GitHub. C'est resté vrai, mais après les attaques de mai 2026 et les 5 561 dépôts piégés par Megalodon, je ne la formule plus pareil. Le problème n'est pas OIDC : c'est qu'il est devenu un point final dans le discours sécurité alors que ce devrait être un point de départ. OIDC supprime les credentials statiques, pas les credentials temporaires exposés pendant l'exécution du runner. Je détaille les quatre couches à empiler autour, dont une trust policy durcie et le contrôle des flux sortants.
-
actions-cool/issues-helper : 53 tags pointent sur un commit piégé
Le 18 mai 2026, 53 tags de l'action GitHub actions-cool/issues-helper ont été réécrits en moins de 3 minutes 16 secondes pour pointer vers un commit imposteur qui exfiltre les secrets CI/CD depuis la mémoire du process Runner.Worker. Une seconde action de la même organisation a subi le même traitement dans la même fenêtre. Je détaille le mécanisme du commit imposteur, les indicateurs de compromission publiés par StepSecurity, et la seule défense qui tienne : l'épinglage par SHA de commit complet. J'explique aussi comment auditer tout votre parc de workflows en une commande.
-
GitHub vacille : l'open source est-il en crise ?
En quelques semaines, GitHub a accumulé un incident de sécurité interne, une fiabilité en berne et le départ de projets emblématiques. Beaucoup y lisent la crise de l'open source. Je crois qu'on confond trois choses : GitHub l'entreprise, la sécurité de la supply chain et l'open source lui-même. Un billet que j'enrichirai au fil de l'eau.
-
Shai-Hulud revient : un ver npm pille l'écosystème AntV
Shai-Hulud est de retour. Ce ver npm auto-répliquant a frappé l'écosystème AntV d'Alibaba le 19 mai 2026 : il lit la mémoire des runners GitHub Actions, vole 130 types de secrets et plante des backdoors dans Claude Code. J'ai vérifié mon propre package-lock.json, voici ce que j'ai trouvé et ce qu'il faut faire.
-
GitHub Actions 2026 : ce que change la nouvelle roadmap sécurité
GitHub a publié sa roadmap sécurité 2026 pour Actions. Dependency locking, policies, secrets scopés, Actions Data Stream et egress firewall répondent à une réalité devenue visible avec Trivy, Checkmarx/KICS et Bitwarden CLI : la CI/CD est désormais une surface d'attaque critique.
-
Checkmarx/KICS compromis : quand les scanners de sécurité deviennent la surface d'attaque
Après Trivy, l'incident Checkmarx/KICS rend le message brutal : nous ne parlons plus d'un outil qui contient une faille, mais d'un scanner de sécurité que des équipes exécutent volontairement dans leurs pipelines, sur leurs dépôts, sur leurs fichiers Terraform et Kubernetes, avec des variables sensibles à portée de main. Je détaille les artefacts touchés, le parallèle troublant avec Trivy, la propagation en aval jusqu'au CLI Bitwarden, le piège des tags Docker mutables, et le vrai sujet que tout le monde évite : ce qu'un scanner peut voir de votre infrastructure.
-
Argo CD + Kyverno : le policy-as-code GitOps qui manquait à votre cluster
Vous pilotez vos déploiements Kubernetes avec Argo CD en GitOps, mais qui vérifie que ce qui arrive dans le cluster respecte vos règles de sécurité ? Je décortique le pattern publié par la CNCF qui couple Argo CD et Kyverno pour transformer vos politiques en code versionné, déployé et appliqué automatiquement. J'explique le pattern App-of-Apps, pourquoi il faut passer en mode audit avant enforce, et pourquoi ce contrôle d'admission est le dernier rempart de votre chaîne logicielle.
-
Pourquoi les certifications Linux, Kubernetes et Terraform vont reprendre de la valeur à l'ère de l'IA
L'IA banalise la production apparente : un manifest Kubernetes, un module Terraform ou une commande Linux se génèrent en quelques secondes. Mais cette facilité affaiblit la valeur du livrable brut. Les certifications pratiques, RHCSA, LFCS, CKA, CKS, Terraform Associate, redeviennent un signal fort, parce qu'elles valident ce que l'IA ne peut pas prouver à votre place.
-
L'affaire Trivy, Acte IV : Aqua a parlé, voici ce que ça change
Dans mon billet précédent, j'écrivais que sans analyse complète et transparente de l'incident, je ne pouvais pas recommander Trivy en conscience. Aqua Security a fini par publier cette analyse, mise à jour cinq fois entre le 22 mars et le 1er avril 2026, avec l'appui du cabinet forensique Sygnia. Le document est dense et techniquement riche, mais mérite une lecture critique. Je détaille ce qu'il révèle vraiment sur le tag poisoning, le payload à trois étages et la persistance via blockchain, ce qu'il passe sous silence, et ce que ça change dans mes recommandations.
-
Trivy compromis : Chainguard offre 12 mois gratuits et une leçon supply chain
En mars 2026, l'écosystème Trivy a subi une compromission majeure : release malveillante, action setup-trivy touchée, tags réécrits, puis extension à des images Docker Hub. L'incident rappelle une réalité brutale : un projet peut garder un code source sain tout en diffusant des artefacts dangereux via une chaîne de release compromise. Chainguard a annoncé dans ce contexte 12 mois d'images Trivy gratuites. Au delà de l'offre commerciale, je m'intéresse à la leçon de fond : ce qu'une chaîne de build indépendante change réellement à l'impact d'une release empoisonnée.
-
KICS et LiteLLM compromis : deux nouvelles attaques supply chain qui confirment un changement d’échelle
À peine le temps d'analyser la compromission de Trivy qu'une nouvelle vague frappe déjà d'autres briques très utilisées : la GitHub Action KICS/Checkmarx et les paquets PyPI de LiteLLM. Ces deux incidents ne sont pas des accidents isolés. Ils montrent une campagne qui change de terrain, réutilise les mêmes mécanismes et vise toujours la même ressource : vos secrets, tokens, runners et clusters. J'analyse les deux vecteurs, ce qui laisse penser qu'ils sont liés, les erreurs de défense qu'ils révèlent, et ce qu'il faut changer durablement au-delà de la réaction d'urgence.
-
Trivy compromis une seconde fois : la release v0.69.4 était empoisonnée
Trois semaines après l'attaque initiale, Trivy a subi un second incident : la release v0.69.4 publiée le 19 mars 2026 était empoisonnée. Ce second épisode est plus grave que le premier, parce que l'artefact malveillant a été construit pour paraître parfaitement légitime et s'est propagé via Homebrew, les registres de conteneurs et la GitHub Action officielle. Je reconstitue la chronologie, le point de départ probable avec un jeton d'accès volé puis non révoqué, le rôle d'un domaine typosquatté, et le rebondissement des images Docker Hub qui a suivi.
