« Une propagation très active » : un ver informatique frappe keyv, le package npm présent dans des millions de projets web
Un logiciel malveillant actif se propage à grande vitesse à travers le registre npm en infectant automatiquement les packages les plus téléchargés du web..
Un ver informatique, nommé keyv, se propage activement depuis le 4 août 2026 dans des millions de projets web. Un ver informatique est un programme malveillant capable de se dupliquer et de se répandre de manière autonome entre les ordinateurs ou les serveurs, sans nécessiter l’intervention d’un utilisateur. Contrairement à un virus, il ne modifie pas les fichiers existants mais exploite souvent des failles de sécurité pour infecter de nouveaux systèmes. Dans ce cas, keyv cible spécifiquement un package npm, un terme désignant un ensemble de code réutilisable et partagé sur la plateforme npm (Node Package Manager), utilisée pour développer des applications web et des sites internet. npm est un gestionnaire de paquets essentiel pour les développeurs, permettant d’intégrer facilement des fonctionnalités préécrites dans leurs projets.
Le package keyv, présent sur npm, est utilisé dans des millions de projets web à travers le monde. npm est une plateforme centralisée qui héberge plus de 2 millions de packages logiciels, téléchargés des milliards de fois chaque mois par des développeurs. keyv est un package conçu pour stocker et gérer des données de manière simple et efficace, souvent utilisé pour gérer des sessions utilisateurs, des caches ou des configurations. Cependant, une faille de sécurité dans keyv a été exploitée par le ver informatique, permettant à ce dernier de s’infiltrer dans les projets qui l’utilisent. Cette faille n’est pas détaillée dans l’article, mais elle illustre un risque courant : l’utilisation de dépendances logicielles non vérifiées ou obsolètes, qui peuvent contenir des vulnérabilités exploitables par des attaquants.
L’infection par le ver keyv touche potentiellement des millions de projets web, car ce package est intégré dans de nombreuses applications et sites internet. Les conséquences d’une telle propagation peuvent être graves : vol de données sensibles, perturbation du fonctionnement des sites, ou utilisation des ressources des serveurs infectés pour des activités malveillantes, comme l’envoi de spam ou la participation à des attaques par déni de service (DDoS). Les développeurs et entreprises concernés doivent identifier rapidement les projets utilisant keyv et appliquer des correctifs pour éliminer le ver. Cette situation souligne l’importance de la sécurité des dépendances logicielles, un enjeu majeur pour les développeurs et les entreprises, qui doivent régulièrement mettre à jour leurs outils et vérifier l’intégrité des packages qu’ils utilisent.
La communauté des développeurs et les équipes de sécurité de *npm* sont mobilisées pour contrer la propagation du ver *keyv*. *npm* est géré par la société *GitHub*, une plateforme majeure du développement logiciel, qui propose des outils pour détecter et bloquer les packages malveillants. Les développeurs sont encouragés à vérifier les mises à jour de *keyv* et à appliquer les correctifs de sécurité dès qu’ils sont disponibles. Cependant, la rapidité de propagation du ver rend la tâche complexe, car les attaquants exploitent souvent des failles avant que les correctifs ne soient déployés. Cette situation met en lumière les défis de la cybersécurité dans un écosystème logiciel de plus en plus interconnecté et dépendant de bibliothèques tierces.
