Nexus Repository et CVE-2026-0600 : pourquoi la configuration proxy devient une surface d attaque

Une faille recente sur une brique cle de la supply chain

Sonatype documente CVE-2026-0600 comme une SSRF dans la configuration des proxy repositories de Nexus Repository 3. Selon l advisory officiel, un administrateur authentifie peut configurer une remote storage URL conduisant le serveur a faire des requetes vers des destinations reseau non voulues, y compris des services metadata cloud ou des reseaux internes, lorsqu un utilisateur accede aux artefacts via ce repository.

Pourquoi c est critique

Nexus est souvent traite comme une simple brique de confort pour packages et artefacts. En realite, c est un point central de la supply chain logicielle. Une SSRF sur ce type de composant peut ouvrir une capacite de pivot vers l interne, voire vers des services de confiance.

Ce que cela dit du risque supply chain

La securite des depots internes ne se limite pas aux signatures, aux dependances et aux droits de publication. La configuration reseau du produit lui-meme fait partie du perimetre de risque.

Notre lecture

CVE-2026-0600 est un bon exemple de faille moderne sur outil de supply chain : elle ne cible pas directement le code source, mais l infrastructure qui distribue et relaye les artefacts. Dans beaucoup d entreprises, cela suffit deja a en faire un sujet prioritaire.