« Si vous utilisez du code Polyfill.io sur votre site – comme plus de 100 000 le font – supprimez-le immédiatement »

Le domaine polyfill.io est utilisé pour infecter plus de 100 000 sites web avec des logiciels malveillants après qu’une organisation chinoise ait acheté le domaine plus tôt cette année. Plusieurs firmes de sécurité ont lancé l’alerte mardi, avertissant les organisations dont les sites web utilisent du code JavaScript provenant du domaine polyfill.io de le supprimer immédiatement. Le site proposait des polyfills – des morceaux utiles de code JavaScript ajoutant des fonctionnalités aux navigateurs plus anciens qui sont intégrées aux versions plus récentes. Ces remplissages facilitent la vie des développeurs car en utilisant des polyfillers, ils savent que leur code web fonctionnera sur une plus large gamme de navigateurs. Maintenant, on nous dit que polyfill.io sert un code malveillant caché dans ces scripts, ce qui signifie que toute personne visitant un site web utilisant ce domaine finira par exécuter ce logiciel malveillant dans son navigateur. « Le domaine cdn.polyfill.io est actuellement utilisé dans une attaque de la chaîne d’approvisionnement web », a déclaré Carlo D’Agnolo de l’entreprise de surveillance de la sécurité c/side dans un avis. « Il servait autrefois de service pour ajouter des polyfills JavaScript aux sites web, mais il insère désormais un code malveillant dans les scripts servis aux utilisateurs finaux. »