Supply chain 2026 : produire, vérifier, imposer, six actions pour demain matin

November 10, 2026

Catégories

• CI/CD
• DevSecOps
• Supply Chain

Tags

• Cooldown
• Immutable Releases
• OIDC
• Provenance
• SBOM
• SLSA
• Supply Chain
• Trusted Publishing
• cosign

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️

Temps de lecture estimé
1 min de lecture

🚧 Article en cours de rédaction
Publication prévue le 10/11/2026

Un cooldown, de la vérification d'identité, des identifiants au lieu des noms, des releases immuables : six actions classées par rapport efficacité/effort, après une grille qui range tout contrôle de supply chain en trois niveaux. Deuxième volet du bilan 2026.

Partager Tweet LinkedIn Reddit Substack

Articles lies

Cette semaine : des logs pris pour des ordres, une gateway IA au KEV, et deux binaires piégés aux identités valides

Récap hebdomadaire du 26 au 28 octobre 2026 : Poisoning the Watchtower et l'injection par les logs, LiteLLM au catalogue KEV, première notification...

01/11/2026

OVHcloud CLI et LiteLLM : à deux jours d'écart, les mêmes contrôles absents

Analyse comparée des compromissions OVHcloud CLI (19/10/2026) et LiteLLM 1.107.0 (21/10/2026) : chaîne d'attaque, contrôles SLSA, releases immuable...

28/10/2026

PHP2Shell, Node2Shell, Python2Shell, React2Shell : quand le runtime lui-même devient le point d'entrée

Analyse de fond de React2Shell, PHP2Shell, Node2Shell et Python2Shell (HTTP2Shell) : mécanismes, versions touchées, ce qui est exploité ou non au 2...

25/10/2026

SlugFest : un nom de repo n'est pas une identité, de npm à vos rôles IAM

Analyse de SlugFest (Bloom Security, 13 octobre 2026) : le Trusted Publishing npm liait un package au nom d'un repo GitHub et non à son identifiant...

23/10/2026

MCP TypeScript SDK : c'est le serveur MCP qui choisissait à qui envoyer vos secrets OAuth

Analyse de la CVE-2026-104850 dans le SDK TypeScript officiel du Model Context Protocol : mécanisme de confusion de serveur d'autorisation, issuer ...

20/10/2026