Cybersécurité sur Migale : nous avons besoin de vous
Chers utilisateurs,
Ces dernières semaines, le paysage de la cybersécurité s’est dégradé de manière spectaculaire. En deux semaines, trois failles critiques ont frappé successivement le noyau Linux et deux langages de développement omniprésents (PHP et Node.js), exposant jusqu’à 70 % des sites web mondiaux. Pour la plupart des organisations, cela a signifié le déploiement d’un correctif en quelques heures.
À cela s’ajoute un facteur aggravant : l’essor de l’IA, qui accélère massivement la découverte de vulnérabilités et l’automatisation des attaques. Ce que des équipes de sécurité mettaient des jours à détecter, des scripts automatisés le font désormais en quelques minutes.
Ces failles nous mettent sur la brèche au quotidien, impliquant inventaires, mises à jour de sécurité et/ou remédiation.
Migale, de par son historique et la diversité de ses activités, héberge de nombreux sites web, pour certains développés avec des technologies qui sont, au fil des années, devenues obsolètes. Jusqu’à présent, nous avons toujours tenté de faire “au mieux” : continuer à faire tourner les services, même si ceux-ci ne sont plus mis à jour, afin de préserver votre confort d’usage.
Nous avons déjà dû prendre des décisions rapides et brutales en fermant l’ensemble des “vieux” sites hébergés utilisant une version de php obsolète. Nous n’avons pas les moyens humains d’assurer les développements informatiques nécessaires pour leur migration nous-mêmes. Nous imposons donc à nos collaborateurs de les mettre à jour pour pouvoir les remettre en ligne. Cela explique que certains sites web hébergés par Migale ne sont plus accessibles.
Au-delà des sites web, qui sont les plus exposés et donc les plus vulnérables, la cybersécurité concerne aussi l’utilisation de la plateforme en ligne de commande.
Une faille de sévérité moins critique (score 6,5/10) nous oblige à mettre à jour tous les environnements Conda, Python, Pixi et UV. Les environnements Conda partagés que vous utilisez quotidiennement sont déjà mis à jour et ne sont plus vulnérables, mais vous devez mettre à jour les environnements que vous pourriez avoir installés dans votre propre arborescence.
Si vous avez personnalisé votre espace de travail (installation d’outils via Conda, Pip, UV, Pixi, ou si vos workflows Snakemake/Nextflow ont généré des environnements locaux), ces environnements sont vulnérables et il est de votre responsabilité de les mettre à jour.
Cet article sur le site de Conda détaille la façon de mettre à jour ces environnements.
Si vous êtes concerné, vous allez recevoir dans les prochaines heures un e-mail séparé.
Nous vous demandons de mettre à jour les environnements au plus tard le 12 novembre. Après cette date, nous désactiverons vos environnements vulnérables.
Nous vous rappelons également que nous ne recommandons pas l’installation d’environnements par Conda dans vos espaces de travail. Utiliser les espaces partagés vous permet de ne pas avoir à gérer vous même les mises à jour de sécurité.
Et au-delà de Migale ?
Protéger nos données (séquences, résultats, identifiants) est une responsabilité partagée. Nous vous recommandons vivement de consulter et appliquer les 10 règles d’or de l’ANSSI.
Nous investissons une énergie considérable pour maintenir Migale en état, réactif et sécurisé. Garder un outil partagé, accessible et convivial dépend aussi de vous.
Merci de votre coopération,
L’équipe 
Dear users,
Over the past few weeks, the cybersecurity landscape has deteriorated dramatically. In just two weeks, three critical vulnerabilities struck the Linux kernel and two ubiquitous development languages (PHP and Node.js) in succession, exposing up to 70% of websites worldwide. For most organizations, this meant deploying a patch within hours.
To this already serious situation, an aggravating factor is being added: the rise of AI, which is massively accelerating both the discovery of vulnerabilities and the automation of attacks. What security teams once took days to detect, automated scripts can now detect in a matter of minutes.
These vulnerabilities keep us on the front line every day, calling for asset inventories, security patching, and/or remediation.
Given its history and the breadth of its activities, Migale hosts numerous websites and online services , some developed using technologies that have, over the years, become obsolete. Until now, we have always tried to do our best: keeping services running even when they are no longer maintained, in order to preserve your seamless user experience.
We have already had to make swift and drastic decisions by shutting down all legacy hosted sites running an obsolete version of PHP. We do not have the human resources to carry out the IT development work required to migrate them ourselves. We are therefore asking our users to update these sites so they can be brought back online. This is why some websites hosted by Migale are currently inaccessible.
Beyond websites—which are the most exposed and therefore the most vulnerable—cybersecurity also extends to the use of our online command-line platform
A vulnerability of lower severity (score 6.5/10) requires us to update all Conda, Python, Pixi, and UV environments. The shared Conda environments you use on a daily basis have already been updated and are no longer vulnerable, but you must update any environments you may have installed in your own home directory.
If you have customized your workspace (installed tools via Conda, Pip, UV, Pixi, or if your Snakemake/Nextflow workflows generated local environments), These environments are vulnerable and it is your responsibility to update them.
This page on Conda website details how to update these environments.
If this applies to you, you will receive a separate email within the next few hours.
Please update your environments by November 12 at the latest. After this date, we will disable any vulnerable environments.
We would also like to remind you that we do not recommend installing Conda environments within your personal workspaces. Using the shared environments means you do not have to manage security updates yourself.
And beyond Migale?
Protecting our data (sequences, results, credentials) is a shared responsibility. We strongly encourage you to review and apply the ANSSI’s 10 Golden Rules
We invest considerable energy in keeping Migale up to date, responsive, and secure. Maintaining a shared, accessible, and user-friendly platform also depends on you.
Thank you for your cooperation.
The team
