Grégory Parrot 🛡️🐧

Responsable Vulnérabilités Management &
Micro-entrepreneur en secondaire (@XternalSoft) & Président de l'association

[Grégory Parrot 🛡️🐧 @MrSlayers]

@Ced_haurus j'ai eu pareil avec mon prompt d'analyse sécu

[yousukezan @yousukezan]

HTTP/2を利用する主要Webサーバーに、わずかな通信で数十GBのメモリを消費させる新たなDoS攻撃「HTTP/2 Bomb」が公開された。PoCコードも既に公開されており、ApacheやEnvoyなどでは1台のクライアントからサーバー全体を停止状態へ追い込める可能性がある。

この攻撃は、HTTP/2のヘッダー圧縮機構であるHPACKとSlowloris型攻撃を組み合わせたものだ。通常の圧縮爆弾とは異なり、大量データを送るのではなく、極めて小さなヘッダーからサーバー側で大量のメモリ��保を発生させる。さらにゼロバイトのフロー制御ウィンドウを悪用し、確保したメモリを長時間解放させない。

研究者によると、Apache httpdやEnvoyでは単一の攻撃クライアントが約20秒で32GBのメモリを消費させることが可能という。サーバーはクラッシュせずスワップ状態へ陥るため、正規ユーザーのアクセスが極端に遅くなる。

影響は広範囲に及び、nginxは既に対策を実装済みで、ApacheもCVE-2026-49975として修正を公開した。一方でMicrosoft IISやEnvoy、Cloudflare Pingoraなどは記事時点で修正が提供されていないとされる。

対策として研究者は、可能であればHTTP/1.1への切り替えやヘッダー数の制限、コンテナ単位でのメモリ制限設定を推奨してい���。
https://t.co/FB6DxWNsWt

[Grafana @grafana]

🚨 We recently discovered that an unauthorized party obtained a token with access to the Grafana Labs GitHub environment, enabling the threat actor to download our codebase. (1/6)

[Packagist @packagist]

🚨 Security advisory: Composer 2.9.8 and 2.2.28 are out and fix a vulnerability leaking GitHub Actions new format GITHUB_TOKENs into job logs via error messages.
Update now (composer self-update) or disable affected Actions workflows.
#composerphp #phpc #php

[Grégory Parrot 🛡️🐧 @MrSlayers]

@_adriend_ @DistroWatch Upgrade de la fedora 43 en 44 sans problème, sous KDE depuis quelques mois, aucun problème toujours très satisfait

[Stéphane Bortzmeyer @bortzmeyer]

Petit test de la faille de sécurité du noyau Linux copy\.fail sur une VM neuve.

https://t.co/dEWbwSrGMk

#onVaTousMourir

[Christophe Boutry @Ced_haurus]

🚨 Alerte Cyber - CPANEL

Une faille d'authentification critique a été découverte dans cPanel, permettant à des attaquants de se connecter sans autorisation aux interfaces cPanel et WHM (autrement dit, ils peuvent accéder à des panneaux d'administration de serveurs web sans connaître les identifiants légitimes.)

Un patch a été publié pour les versions supportées. La mise à jour se fait avec une seule commande :

👉bash/scripts/upcp

Si la mise à jour est impossible ➡️ bloquer les ports via le pare-feu

[Packagist @packagist]

🚨 Composer 2.9.6 and 2.2.27 are out with fixes for CVE-2026-40261 and CVE-2026-40176, both command injection issues in the Perforce driver. Run composer self-update now. No exploitation detected on https://t.co/Gf5b9WSiRn and Private Packagist. #php #phpc #composerphp

[Grégory Parrot 🛡️🐧 @MrSlayers]

@SowPiano Je dis que c'est le jeu du siècle ! 🔥

[Sean Murray @NoMansSky]

No Man's Sky Xeno Arena

👽Creature Battling
⚡100+ Abilities
🐣Genetic Experiments
🏟️Multiplayer Arenas
🤖Alien Trainers
🐌Tactical Combat
🥚Breed Creatures
🎖️Medals + Titles
🐾More Pets
🥽Creature Survey Mode
📋Daily Challenges
📎Guidance Missions
🏓Arena Ranks
🦑Exclusive Pets

[Cloudflare Developers @CloudflareDev]

Introducing EmDash — the spiritual successor to WordPress.

Serverless. TypeScript. Securely sandboxed plugins via Dynamic Workers.

https://t.co/AQorxEmiKM

[Jon Schroeder @jonschr]

What if I told you there was a new CMS that includes the bad WordPress interface from 2015, the tinymce editor, and that it also won't work with normal WordPress plugins.

How excited are we, people?

[Dane Knecht 🦭 @dok2001]

Every WordPress plugin you install is a blind trust exercise.

Full database access. Full filesystem access. No isolation. Hope for the best.

EmDash plugins can only do what they declare upfront. Sandboxed. Scoped. Auditable.

96% of WordPress security issues come from plugins. We fixed that.

[Wes Bos @wesbos]

HEADS UP. Popular JSON formatter extension has started injecting geolocation tracking and donation UI into websites

Reddit thread seems to think they are also swapping tracking IDs for affiliates (a-la honey)

Uninstall and switch to another one

[Laravel @laravelphp]

🚨 Security Alert: axios versions 1.14.1 and 0.30.4 were compromised on npm with a remote access trojan hidden in a postinstall script. Both versions have since been removed.

This was not a Laravel vulnerability — but we're taking proactive steps to protect our community from this supply chain attack.

If you installed or updated axios in the last 24 hours, scan your machine.

What we did:

• Pinned axios to safe versions in laravel/laravel
• laravel/installer now runs package installs with --ignore-scripts by default
• Blocked the attacker's domain across Laravel Cloud

More info: https://t.co/GhcKIAIEXE

[Grégory Parrot 🛡️🐧 @MrSlayers]

@free C'est retransmis quelque part ?

[Sam Carré 🤠 @carre_sam]

👋 PSA / Message to all Saloon users

We've published 3 CVEs affecting all versions of Saloon, including one rated high. We strongly recommend upgrading to v4 as soon as possible.

Upgrade guide (v3 → v4) https://t.co/SBHGgeFEUE

[Tiino-X83 @TiinoX83]

⚠️ Abonnés Freebox ⚠️

Avant, le code achat était activé par défaut pour tout achat (VOD, abonnements, chaîne, etc)

Depuis le 20/03 pour les anciens et nouveaux abonnés, le code achat n’est plus systématiquement demandé !

RDV dans l’espace abonné rubrique TV pour le réactiver !

[Grégory Parrot 🛡️🐧 @MrSlayers]

@DFintelligence C'est exactement ce que j'ai fait l'autre jour, plus orienté explication du fonctionnement mais oui je confirme que c'est une bonne idée de le faire

[Grégory Parrot 🛡️🐧 @MrSlayers]

@_adriend_ Tu sauvegarde sur du NFS?