Vercel : Risques systémiques et compromission de la chaîne d'approvisionnement

Le Pitch

Vercel se positionne comme le "Frontend Cloud" de référence, promettant une infrastructure sécurisée et haute performance pour Next.js (https://vercel.com). L'incident majeur du 19 avril 2026 vient pourtant briser cette image de forteresse imprenable (Vercel Security Bulletin, April 2026).

Sous le capot

Le 19 avril 2026, Vercel a confirmé une intrusion issue d'un token OAuth compromis chez un tiers, Context.ai (Vercel Statement). L'attaquant a exploité cette faille pour accéder aux systèmes internes et énumérer les variables d'environnement non marquées comme "sensibles".

Cette brèche s'inscrit dans une série noire de 12 mois pour l'entreprise. On compte déjà la RCE React2Shell (CVE-2025-55182) avec un score CVSS de 10.0 en décembre 2025, ainsi qu'un bypass d'authentification middleware classé CVSS 9.1 (Vercel Post-Mortem).

Le risque de "concentration de confiance" est désormais critique. La stack Next.js/Vercel est devenue le défaut absolu, poussée par les suggestions de Claude 4.5 et Claude Code (Dossier UsedBy). Guillermo Rauch, CEO de Vercel, admet que l'attaquant a agi avec une vélocité suggérant l'usage d'agents IA type GPT-5.

Le problème technique central réside dans la gestion des secrets. Les intégrations comme Neon stockent souvent les credentials en mode non-sensible par défaut (Hacker News / Neon Docs). Les projets créés avant février 2024 ne bénéficient pas non plus du chiffrement systématique des variables d'environnement.

On ne sait pas encore combien de clients font partie du "sous-ensemble limité" touché par l'exfiltration de données. L'info n'est pas publique non plus concernant l'étendue des vols sur les instances internes Linear et GitHub de Vercel (Dossier UsedBy).

Nos données montrent que des acteurs majeurs comme le Washington Post, Loom et HashiCorp sont exposés sur la plateforme. Voir la fiche Vercel

L'avis de Ruben

Vercel est devenu le "Single Point of Failure" du web moderne par pur confort de déploiement. L'accumulation de trois failles critiques en un an prouve que leur vélocité de feature shipping dépasse leur capacité de défense. Si vous traitez des données régulées, quittez le navire ou passez en mode "Zero Trust" total en chiffrant vous-mêmes vos secrets avant injection. Vercel n'est plus une infrastructure de confiance en 2026, c'est une cible prioritaire pour les agents autonomes.

Codez propre,
Ruben.