🚨 EN DIRECT : GitHub a confirmé une violation de ses dépôts internes.

L'attaquant a compromis un appareil d'un employé via une extension Visual Studio Code empoisonnée. De ce seul point d'entrée, ils ont pivoté vers les dépôts internes de GitHub, dérobé des secrets, et sont repartis avec ce qu'ils prétendent être environ 4 000 dépôts privés de code source et de données internes de l'organisation.
L'acteur de la menace, TeamPCP, a mis en vente tout cela sur le forum Breached hier avec un seuil de 50 000 dollars.
Leurs conditions sont claires. Un acheteur, pas de négociation, et si personne ne paie, l'ensemble du jeu de données sera divulgué gratuitement.
GitHub indique avoir supprimé la version malveillante de l'extension, isolé l'appareil, renouvelé les secrets critiques, et activé la réponse aux incidents.
La société maintient qu'il n'y a actuellement aucune preuve d'impact sur les dépôts clients, les entreprises ou les organisations stockés en dehors de son infrastructure interne.
Le vecteur d'attaque est la partie qui mérite réflexion.
Ce n'était pas une faille de la plateforme GitHub. C'était une extension empoisonnée dans le marketplace VS Code, exécutée sur un ordinateur portable de développeur, utilisée pour atteindre tout ce que cet ordinateur pouvait atteindre.
La même semaine, deux workflows GitHub Actions populaires (actions-cool/issues-helper et actions-cool/maintain-one-comment) ont été compromis via manipulation de tags pour exfiltrer des identifiants CI/CD, et une vulnérabilité RCE critique dans GitHub lui-même, CVE-2026-3854, a été corrigée après que des chercheurs ont montré qu'elle pouvait être déclenchée par un simple push git.
Trois incidents distincts, un message cohérent. La plateforme est renforcée. La chaîne d'approvisionnement qui l'entoure reste la cible la plus faible.
Pour tous ceux qui construisent sur GitHub en ce moment, la liste de contrôle immédiate est simple.
Auditez les extensions VS Code installées. Fixez les Actions GitHub aux SHAs de commit plutôt qu'aux tags. Renouvelez tous les tokens, clés de déploiement ou secrets qui ont pu toucher un environnement compromis au cours des deux dernières semaines.