Shai-Hulud frappe à nouveau : quand la chaîne d'approvisionnement logicielle nous rappelle l'importance du « made in Europe »

La chaîne d'approvisionnement logicielle est devenue le nouveau terrain de jeu des cybercriminels. Comme le révèle une enquête de JFrog Security Research, une nouvelle variante du ver Shai-Hulud a compromis plus de 450 packages npm en ciblant deux bibliothèques de mise en cache largement utilisées. Le résultat ? Des milliers de développeurs ont potentiellement téléchargé du code malveillant sans le savoir, mettant en danger leurs projets et leurs utilisateurs.

Cette attaque n'est pas une surprise : les écosystèmes logiciels centralisés, comme npm ou PyPI, sont des cibles de choix pour les attaquants. Leur force — une immense bibliothèque de composants prêts à l'emploi — est aussi leur faiblesse : une seule faille peut contaminer des centaines de projets en cascade. En Europe, nous avons une opportunité unique de construire une alternative : des registres logiciels décentralisés, transparents, et soumis à des audits réguliers. Des initiatives comme Eclipse Foundation ou OW2 montrent la voie en promouvant des standards ouverts et une gouvernance collective.

Concrètement, cette histoire nous rappelle deux choses. D'abord, vérifier la provenance de chaque composant que l'on intègre dans un projet — une pratique encore trop rare, mais qui peut éviter bien des désagréments. Ensuite, privilégier les outils et les bibliothèques développés en Europe, où les exigences en matière de transparence et de protection des données sont parmi les plus strictes au monde. Par exemple, des plateformes comme GitLab (originaire des Pays-Bas) ou Nextcloud (allemande) offrent des alternatives souveraines aux solutions dominantes, sans sacrifier la performance.

La prochaine fois que vous développerez ou utiliserez un logiciel, souvenez-vous de Shai-Hulud. Choisir des outils européens, c'est comme choisir des ingrédients locaux pour cuisiner : vous savez d'où ils viennent, et vous avez la garantie qu'ils respectent vos valeurs. Une chaîne d'approvisionnement logicielle saine, c'est la base d'un numérique qui nous ressemble.