Failles de sécurité de novembre 2026 : ce que les développeurs doivent mettre à jour
L’essentiel en une minute
Entre le 14 octobre et le 7 novembre 2026, la CISA, l’agence américaine de cybersécurité, a ajouté à son catalogue des failles exploitées cinq failles de sécurité qui touchent des outils de développeurs : deux dans PHP, une dans WordPress, une dans GitLab et une dans la bibliothèque de compression Brotli. Si vous ne devez faire qu’une chose ce week-end, mettez à jour PHP et WordPress.
Ce premier numéro de notre veille mensuelle repose sur des sources primaires lues le 7 novembre 2026, sans aucun test.
Points clés
- PHP 8.2 à 8.5 : deux failles critiques qui, selon le projet PHP, « peuvent permettre une exécution de code à distance sans authentification ». Exploitées. Passez en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
- WordPress 4.7 à 7.1.3 : une exécution de code pendant la mise à jour du cœur, exploitée. Passez en 7.1.4 ou au correctif de votre branche.
- Brotli : une faille que la CISA signale exploitée, sans préciser de vecteur via Node.js. Node.js l’a corrigée le 21 octobre avec trois autres failles élevées, et annonce une nouvelle salve vers le 11 novembre.
- OpenSSH avant 10.6p2 : contournement de l’authentification par mot de passe sur les systèmes musl sans PAM, comme Alpine Linux.
- Outils : une fausse extension Claude Code sur la place de marché de Cursor, et 1 025 avis de paquets malveillants publiés par GitHub.
Les failles de sécurité à corriger cette semaine
Le tableau classe les failles de sécurité par urgence : d’abord celles du catalogue des vulnérabilités exploitées (KEV) de la CISA, puis les plus graves sans exploitation connue. Chaque score CVSS est celui de l’organisme indiqué ; les versions 3.1 et 4.0 de CVSS ne se comparent pas directement.
| Priorité | Logiciel | CVE | CVSS (source) | Exploitée ? | Version corrigée |
|---|---|---|---|---|---|
| 1 | PHP 8.2 à 8.5 | CVE-2026-109618, CVE-2026-109619 | 9,2 v4.0 (PHP) | Oui, KEV le 26 oct. | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| 2 | WordPress 4.7 à 7.1.3 | CVE-2026-119977 | 8,1 v3.1 (Wordfence) | Oui, KEV le 3 nov. | 7.1.4 (ou 7.0.8, 6.9.11, 6.8.12…) |
| 3 | GitLab CE et EE autogéré | CVE-2026-97229 | 10 v3.1 (GitLab) | Oui, KEV le 29 oct. | 19.4.2, 19.3.5, 19.2.8 |
| 4 | Brotli, dont Node.js 22, 24, 26 | CVE-2026-111497 | 9,2 v4.0 (Google) ; « élevée » pour Node.js | Oui, KEV le 27 oct. | Brotli 1.2.1 ; Node.js 22.23.4, 24.22.1, 26.12.1 |
| 5 | OpenSSH, musl sans PAM | CVE-2026-123158 | 8,1 v3.1 (MITRE) | Non signalée | 10.6p2 |
| 6 | Next.js 10 à 16 | GHSA-673q-mjm6-r5xr, CVE-2026-96889 | 9,5 v4.0 (avis GitHub de Vercel) | Non connue | 16.4.5, 15.5.29 ; 14 et antérieures : migrer |
| 7 | React Server Components 19 | GHSA-xqc2-xf4c-x3h3 | 9,5 v4.0 (avis GitHub de React) | Non connue | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
| 8 | Extension Claude Code dans Cursor | Aucun identifiant | Aucun | Incident du 29 oct. | Chercher la clé « svc-telemetry » |
| 9 | Chrome et Firefox | Plusieurs | Critique (Google) | Non signalée | Chrome 157, Firefox 159.0.1 |
Les dates « KEV » sont les dates d’ajout affichées par le catalogue KEV de la CISA, lu le 7 novembre 2026. Les autres sources sont citées dans chaque section.
PHP et WordPress
Priorité absolue : un site WordPress cumule deux failles exploitées.
PHP : deux exécutions de code à distance
Le 21 octobre, PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ont corrigé CVE-2026-109618 (« RCE via OOM corruption ») et CVE-2026-109619 (« RCE via stale global state »). Le projet écrit qu’elles « peuvent permettre une exécution de code à distance sans authentification » (notre traduction) et que toutes les installations qui servent des requêtes web sont touchées, dont PHP-FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed (avis de sécurité de PHP). PHP note chacune 9,2 en CVSS 4.0 (fiche CVE-2026-109618, fiche CVE-2026-109619).
Exploitée ? Oui. Le catalogue KEV date leur ajout du 26 octobre ; l’alerte de la CISA du 21 octobre, révisée le 26 octobre, les nomme « php2shell » (alerte de la CISA). Le CERT-FR « constate des tentatives d’exploitation » (alerte CERTFR-2026-ALE-014, 27 octobre 2026).
Selon le catalogue KEV, une faille du noyau Linux exploitée, CVE-2026-46300, peut y être chaînée pour obtenir les droits root. Selon sa fiche, elle est corrigée dans les noyaux 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 et 7.1 (fiche CVE-2026-46300) ; vérifiez le paquet de votre distribution.
Action. Installez la version corrigée de votre branche ou le paquet de votre distribution ; 8.1 et antérieures ne sont plus maintenues. En attendant, PHP conseille de désactiver session.upload_progress.enabled dans php.ini puis de redémarrer chaque worker, ce qui réduit l’exposition sans la supprimer. Sous Windows, prenez les builds -1 du 26 octobre, qui embarquent Brotli corrigé (annonce de PHP).
WordPress 7.1.4 : exécution de code pendant la mise à jour du cœur
WordPress 7.1.4, publié le 28 octobre, corrige douze problèmes de sécurité, dont une exécution de code à distance et une dizaine de failles XSS stockées ; la note annonce des rétroportages jusqu’à la branche 4.7, sans donner leurs numéros (note de version de WordPress). L’exécution de code, CVE-2026-119977, permet à un attaquant non authentifié d’exécuter du code pendant une mise à jour complète du cœur. Wordfence, éditeur de sécurité WordPress, la note 8,1 en CVSS 3.1 (fiche CVE-2026-119977).
Exploitée ? Oui : ajoutée le 3 novembre 2026 au catalogue KEV.
Action. Vérifiez que votre site affiche 7.1.4. Pour les anciennes branches, la fiche CVE arrête les versions touchées à 7.0.7, 6.9.10 et 6.8.11, et l’API de WordPress proposait le 7 novembre 7.0.8, 6.9.11 et 6.8.12 (API de version de WordPress). Notre checklist pour sécuriser WordPress couvre les mises à jour automatiques.
Node.js, Next.js et React
Node.js et Brotli : quatre failles élevées le 21 octobre
Node.js 22.23.4, 24.22.1 et 26.12.1 corrigent dix CVE, dont quatre élevées selon le projet : une troncature de noms dans dns.resolve, deux contournements de la vérification du nom d’hôte des certificats TLS et une écriture hors limites dans le décodeur Brotli (bulletin de Node.js, 21 octobre 2026).
La faille de Brotli, CVE-2026-111497, touche les versions 1.0.3 à 1.2.0 de la bibliothèque. Google la note 9,2 en CVSS 4.0 (fiche CVE-2026-111497) et l’a corrigée dans Brotli 1.2.1 (note de version de Brotli, 21 octobre 2026). La CISA l’a ajoutée au catalogue KEV le 27 octobre, sans préciser par quel logiciel elle est exploitée. La fiche demande de mettre à jour toute bibliothèque ou binaire Brotli de 1.0.3 à 1.2.0, ce qui inclut le paquet libbrotli de votre système.
Action. Installez au moins la version corrigée de votre branche (node -v pour vérifier) et reconstruisez vos images Docker node. Node.js annonce de nouvelles versions des branches 22, 24 et 26 vers le 11 novembre, avec au moins une faille élevée par branche (préannonce de Node.js).
Next.js : deux critiques le 14 octobre, sept correctifs le 3 novembre
Le 14 octobre, Next.js 16.4.1 et 15.5.28 ont corrigé deux exécutions de code à distance critiques, dans les fonctions use cache et dans l’optimisation d’images SVG (CVE-2026-96889, avis GHSA-2464-fhr4-w9xw) (blog de Next.js). Les avis GitHub publiés par Vercel les notent 9,5 en CVSS 4.0 (avis GHSA-673q-mjm6-r5xr). L’avis sur les images SVG liste comme touchées toutes les versions depuis la 10.0.0, sans correctif pour les branches 14 et antérieures : celles-ci doivent migrer.
Le 3 novembre, Next.js 16.4.5 et 15.5.29 ont corrigé sept problèmes, surtout des fuites de cache entre locataires et entre utilisateurs (blog de Next.js). Le blog de Vercel qualifie le premier d’« élevé », mais son propre avis GitHub retient « moyen », à 6,3 en CVSS 4.0 (avis GHSA-mfr8-8qww-v76h). Aucune exploitation n’est signalée.
Action. npm install [email protected] ou npm install [email protected], qui couvrent aussi les failles du 14 octobre. Notre guide Next.js rappelle le rythme mensuel de ces mises à jour.
React Server Components
L’avis GHSA-xqc2-xf4c-x3h3, publié dans le dépôt react/react (nouveau nom de facebook/react), décrit une exécution de code à distance sans authentification dans react-server-dom-webpack, -turbopack et -parcel, que React note 9,5 en CVSS 4.0 (avis de React, 14 octobre 2026). Versions corrigées : 19.0.9, 19.1.10, 19.2.9 et 19.3.1. Next.js 16.4.1 intègre ce correctif amont ; avec Vite ou Parcel, mettez ces paquets à jour vous-même.
Python, Django, Java, Spring et Laravel
Hors Brotli (voir plus haut), rien d’exploité ici pendant la période.
| Composant | Date | Ce qui est corrigé | Gravité (source) | Version corrigée |
|---|---|---|---|---|
| Python | 25 oct. | tarfile (CVE-2026-114583), clés eMudhra bloquées (CVE-2026-115557) |
Non publiée | 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18 |
| Django | 3 nov. | Six failles, dont une SSRF GeoJSON (CVE-2026-111362) | Modérée au plus (Django) | 6.1.3, 6.0.10, 5.2.19 |
| Java SE | 20 oct. | 55 correctifs Oracle Java SE | 7,5 v3.1 au plus (Oracle) | Mise à jour d’octobre du JDK |
| Laravel | 3 et 4 nov. | Injection via Concurrency::run() |
2,3 v4.0 (avis GitHub de Laravel) | 13.40.0 ; 12.71.0 (probable) |
| Spring | Aucun | Aucun avis publié depuis le 20 août 2026 | Sans objet | Sans objet |
Sources : téléchargements de Python et blog de Python, Brotli sur PyPI, blog de Django, Critical Patch Update d’Oracle, avis GHSA-63hm-g96r-2m2q, Laravel sur Packagist et avis de Spring, consultés le 7 novembre 2026.
Quelques précisions. Python.org date ces versions du 25 octobre, son blog les annonce le 26 ; 3.11 à 3.13 ne sont publiées qu’en sources. Oracle liste comme touchés Java SE 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 26.0.2 et 27.
Pour Laravel, l’avis ne nomme que 13.40.0 et mentionne un rétroportage en 12.x ; sa note de 2,3 vient de ses conditions, un code applicatif qui écrit des données de l’utilisateur sur la sortie standard. La version 12.71.0, publiée le 3 novembre, modifie les fichiers de Concurrency et devrait contenir ce rétroportage, mais ses notes de version ne le nomment pas. Le CERT-FR la signale pour son risque d’exécution de code (avis CERTFR-2026-AVI-1457).
Actions.
- Python lui-même : passez en 3.15.2, 3.14.10, 3.13.18, 3.12.16 ou 3.11.18 selon votre branche, via l’installateur de python.org pour 3.15 et 3.14, ou via le paquet de votre distribution ou l’image Docker officielle
pythonpour 3.11 à 3.13, publiées en sources seulement. - Brotli :
pip install -U "brotli>=1.2.1"(version publiée sur PyPI le 22 octobre). - Django, selon votre branche :
pip install -U "django~=6.1.3","django~=6.0.10"ou"django~=5.2.19". - Laravel :
composer update laravel/framework --with-dependencies, puiscomposer show laravel/frameworkpour lire la version installée. - Java : la mise à jour d’octobre de votre distribution du JDK.
Navigateurs : Chrome et Firefox
Grosses salves, sans exploitation signalée dans les notes.
| Navigateur | Version corrigée | Date | Correctifs | Gravité maximale |
|---|---|---|---|---|
| Chrome (bureau) | 157.0.8103.38/.39 | 3 nov. | 213 | 7 failles critiques |
| Chrome (bureau) | 156.0.8078.79/.80 | 29 oct. | 21 | 1 faille critique |
| Firefox | 159 | 27 oct. | 167 CVE | Élevée |
| Firefox ESR | 153.6 | 27 oct. | Non compté | Élevée |
| Firefox | 159.0.1 | 3 nov. | 1 CVE | Élevée |
Sources : notes de Chrome du 3 novembre et du 29 octobre, avis de Mozilla MFSA 2026-118, MFSA 2026-120 et MFSA 2026-123.
Les 167 CVE s’expliquent : Mozilla écrit dans MFSA 2026-118 qu’il ne regroupe plus les failles mémoire en une seule CVE. Action : redémarrez votre navigateur, et mettez à jour Chromium ou Electron dans vos tests s’ils sont épinglés.
Serveurs et outils : OpenSSH, GitLab, Git, Docker, OpenSSL
Deux urgences : OpenSSH sur Alpine et GitLab autogéré.
OpenSSH 10.6p2 : contournement d’authentification sur musl
OpenSSH 10.6p2, publié le 5 novembre, corrige un contournement de l’authentification par mot de passe sur certains systèmes Linux compilés sans PAM (notes de version d’OpenSSH). Selon la fiche CVE-2026-123158, cela concerne les systèmes à musl, comme Alpine Linux, où tout mot de passe de 256 à 1 024 caractères est accepté pour certains comptes. MITRE la note 8,1 en CVSS 3.1 (fiche CVE-2026-123158).
Alpine précise les comptes visés : ceux dont le champ mot de passe vaut * dans /etc/shadow, courant pour les comptes à clé seule, sur une machine qui a au moins un compte avec un hachage ; les comptes verrouillés par ! ne le sont pas. Les paquets corrigés sont publiés pour les branches 3.16 à 3.24 (branches en fin de vie incluses, selon le calendrier d’Alpine), par exemple 10.3_p1-r2 en 3.24 (bulletin d’Alpine, 5 novembre 2026). Le CERT-FR juge l’exploitation « triviale » quand les conditions sont réunies (alerte CERTFR-2026-ALE-015).
Action. Sur Alpine, le bulletin indique apk upgrade -U -a puis rc-service sshd restart, car la mise à jour ne redémarre pas sshd. Passez ensuite à PasswordAuthentication no, après avoir vérifié qu’une connexion par clé fonctionne pour ne pas vous enfermer dehors. Pour des conteneurs, reconstruisez les images à partir d’une image alpine à jour au lieu de mettre à jour le conteneur en place. D’après la fiche CVE, les distributions basées sur glibc, comme Debian ou Ubuntu, ne correspondent pas au cas décrit.
GitLab autogéré : une faille notée 10, exploitée
GitLab a corrigé CVE-2026-97229 le 12 octobre, juste avant notre période, dans 19.4.2, 19.3.5 et 19.2.8 ; c’est son ajout au catalogue KEV, le 29 octobre, qui la fait entrer dans cette veille. GitLab la note 10 avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H : PR:N signifie qu’aucun compte n’est requis, et l’éditeur décrit un « utilisateur non authentifié » qui exécute du code via une expression régulière piégée dans une configuration CI/CD (note de version de GitLab).
Selon la note, GitLab.com et GitLab Dedicated sont déjà corrigés. La fiche CVE ne cite pas la branche 19.5 parmi les versions touchées (fiche CVE-2026-97229). Le catalogue KEV prévient que d’autres produits peuvent partager le problème sous-jacent, dans le moteur d’expressions régulières de Ruby ; Ruby l’a corrigé dans 4.0.9, 3.4.12 et 3.3.13, versions à installer aussi pour vos propres applications Ruby (annonce de Ruby, 23 octobre 2026).
Action. Si vous administrez une instance autogérée, vérifiez sa version dans la page d’aide (/help) et passez en 19.4.2, 19.3.5 ou 19.2.8 au minimum. Sur un seul nœud, 19.3.5 implique une coupure.
Git, Docker, OpenSSL : rien de grave dans la fenêtre
Aucun avis élevé ou critique dans la période : le dernier avis de Git date de juillet 2025, ceux de Docker Engine du 1er octobre 2026 et ceux d’OpenSSL, tous faibles, du 29 septembre.
Chaîne d’approvisionnement : npm et PyPI
La base d’avis de GitHub a publié 1 025 avis de type « malware » entre le 14 octobre et le 7 novembre 2026 : 841 visent npm, 177 PyPI et 7 RubyGems (base d’avis de GitHub). Ce sont des avis, pas des victimes.
Méthode de comptage. Nous avons interrogé l’API publique GET https://api.github.com/advisories?type=malware&published=2026-10-14..2026-11-07, toutes pages, le 7 novembre 2026, puis compté les avis par écosystème et par semaine de publication (dates UTC). Aucun avis retiré ne figurait dans le résultat. C’est une lecture de données, pas une analyse par un outil de sécurité.
Notre calcul : 498 de ces avis, soit 48,6 %, déclarent malveillantes toutes les versions du paquet. Notre lecture, et non une classification de GitHub : cela suggère un paquet créé pour nuire plutôt qu’un projet légitime piraté.
Action. Vérifiez vos dépendances ajoutées récemment et verrouillez les versions. En intégration continue, npm ci --ignore-scripts installe exactement le fichier de verrouillage sans lancer les scripts d’installation, quand votre projet n’en a pas besoin. Côté Python, pip install --require-hashes -r requirements.txt refuse tout fichier dont l’empreinte diffère. Voyez aussi les cyberattaques les plus fréquentes.
Outils de développement IA : Cursor, Claude Code, MCP
Les assistants de code sont devenus une cible directe.
La fausse extension Claude Code sur la place de marché de Cursor
Le 29 octobre 2026, deux versions de l’extension « Anthropic.claude-code » (2.1.312 et 2.1.313), non développées par Anthropic selon Cursor, ont été disponibles sur sa place de marché d’environ 2 h 27 à 13 h 35, heure du Pacifique, pour Windows et macOS (avis de sécurité de Cursor, mis à jour le 30 octobre). Elles ajoutaient une clé SSH de l’attaquant, svc-telemetry, et tentaient d’ouvrir un tunnel SSH inverse. L’avis ne donne ni nombre d’installations ni CVE.
Action. Cherchez svc-telemetry dans ~/.ssh/authorized_keys, et sous Windows aussi dans C:\ProgramData\ssh\administrators_authorized_keys. Si la clé est présente, Cursor recommande d’isoler la machine et de changer tous les identifiants accessibles depuis elle : désinstaller l’extension ne suffit pas. Notre comparatif Claude Code vs Cursor le signalait déjà.
Claude Code, Claude Agent SDK, SDK MCP et Storybook
| Paquet | Avis | CVSS (avis GitHub, mainteneur) | Version corrigée |
|---|---|---|---|
| claude-agent-sdk (PyPI) | CVE-2026-96620, injection d’argument via resume |
9,2 v4.0 | 0.2.121 |
| @anthropic-ai/claude-code (npm) | CVE-2026-86063, contournement de l’épinglage des plugins | 7,5 v4.0 | 2.1.179 |
| @modelcontextprotocol/sdk (npm) | CVE-2026-111768, épuisement mémoire | 7,5 v3.1 | 1.32.0 |
| @modelcontextprotocol/server (npm) | CVE-2026-111770, messages livrés au mauvais client | 7,7 v3.1 | 2.3.0 |
| storybook et @storybook/addon-mcp (npm) | CVE-2026-114125, injection de code depuis un site malveillant | 9,4 v4.0 | storybook 8.6.19, 9.1.21, 10.6.2 ; addon-mcp 10.6.2 |
Sources : avis GHSA-h4mw-j7qp-8mwm, GHSA-pq7j-f95f-qfcv, GHSA-46jr-4wx8-v453, GHSA-jm63-cq47-j5jp et GHSA-f2ph-cmg5-wxc8, publiés du 15 au 21 octobre 2026.
La faille du SDK Claude Agent n’est exploitable que si l’application passe une entrée non fiable comme identifiant de session. CVE-2026-111770, dans @modelcontextprotocol/server, livre les réponses d’un client à un autre quand un serveur HTTP crée un seul transport ou une seule instance au démarrage, un modèle que montraient, selon l’avis, les exemples des README officiels. CVE-2026-111768, dans @modelcontextprotocol/sdk, permet d’épuiser la mémoire d’un serveur HTTP avec une seule requête ; les serveurs en stdio n’y sont pas exposés. Storybook figure ici car son extension MCP, @storybook/addon-mcp, est touchée. Notre tutoriel sur les serveurs MCP explique ces transports.
Comment suivre les failles de sécurité
Trois réflexes : s’abonner, lire ses dépendances, automatiser.
S’abonner. Le CERT-FR publie ses alertes et avis en français, avec des flux RSS : c’est la source la plus simple pour un lecteur francophone, quel que soit son pays. Ajoutez le catalogue KEV de la CISA, téléchargeable en JSON, pour savoir ce qui est exploité.
Lire ses dépendances. npm audit compare votre package-lock.json aux avis connus et liste les paquets vulnérables avec leur gravité ; npm audit fix applique les mises à jour compatibles. pip-audit fait le même travail pour un environnement Python ou un requirements.txt, et composer audit pour PHP.
Automatiser. Dependabot, intégré à GitHub, envoie des alertes quand un avis touche une de vos dépendances. Pour qu’il ouvre lui-même les pull requests de correction, activez aussi les « Dependabot security updates » dans Settings, section Code security, du dépôt. Avec des tests automatiques, comme dans notre tutoriel GitHub Actions, une mise à jour devient une relecture.
Ces outils ont deux angles morts. Ils ne voient ni PHP, ni Node.js, ni OpenSSH, ni le noyau de votre serveur : justement les failles les plus graves de ce mois. Et ils ne protègent pas vos comptes : activez la double authentification sur npm, PyPI et GitHub. Ce travail de veille vous attire ? Voyez les métiers de la cybersécurité.
Ce que nous n’avons pas pu vérifier
- Les correctifs Node.js du 11 novembre : seule la préannonce est publique ; l’article sera mis à jour après le 11 novembre.
- L’ampleur de l’exploitation : le catalogue KEV dit qu’une faille est exploitée, pas combien de sites sont touchés, ni, pour Brotli, par quel logiciel.
- Les extensions WordPress : les avis de Patchstack et Wordfence, deux éditeurs commerciaux, n’ont pas été triés ; seul le cœur est couvert.
- L’incident eMudhra, cité par Python, Node.js et WordPress : nous n’en avons lu aucune source primaire.
- Les numéros des JDK corrigés, propres à chaque distribution.
- VS Code et Copilot : aucun avis élevé ou critique trouvé dans la période ; le Patch Tuesday de Microsoft de novembre tombe le 10 novembre.
Questions fréquentes
Quelles failles de sécurité corriger en premier en novembre 2026 ?
Celles qui sont exploitées : PHP, WordPress, GitLab autogéré et Brotli, toutes au catalogue KEV de la CISA. Viennent ensuite OpenSSH sur Alpine et Next.js.
Mon site WordPress est-il protégé s’il est en 7.1.4 ?
Contre la faille du cœur, oui. Mais PHP est un composant distinct : un WordPress à jour sur PHP 8.3.35 reste exposé aux failles de PHP du 21 octobre. Vérifiez la version de PHP dans l’outil Santé du site et demandez à votre hébergeur s’il a appliqué la version corrigée (avis de PHP).
Quelle différence entre CVSS 3.1 et CVSS 4.0 ?
Deux versions de la même grille sur 10, aux formules différentes : un 9,2 en 4.0 et un 9,2 en 3.1 ne se comparent pas. Chaque score est donné ici avec sa version et sa source.
npm audit suffit-il à détecter un paquet malveillant ?
Non. npm audit ne signale que les paquets déjà couverts par un avis ; un paquet piégé publié il y a quelques heures n’y figure pas. Le fichier de verrouillage limite ce risque.
À propos de l’auteur
Abdelilah Ourti est ingénieur IA et architecte logiciel. Il conçoit et déploie des applications web et des systèmes d’IA, et publie sur NeurauTech des guides et des comparatifs destinés aux développeurs francophones. Ses autres articles sont réunis sur sa page auteur.
Méthode. Veille fondée exclusivement sur des sources primaires consultées le 7 novembre 2026 : bulletins des éditeurs, fiches CVE.org, base d’avis de GitHub, catalogue KEV de la CISA et bulletins du CERT-FR. Les comptages d’avis malveillants viennent de requêtes sur l’API publique de GitHub. Aucune faille n’a été testée et aucun outil d’analyse n’a été lancé. Aucun lien n’est affilié.
Une erreur ou une version périmée ? Écrivez à [email protected] : l’article sera corrigé et la date de mise à jour modifiée. Le prochain numéro de cette veille paraîtra début décembre 2026.
Dernière mise à jour : 7 novembre 2026.
Image d’en-tête : Brett Sayles via Pexels (Pexels License).
