🚨 EN DIRECT : GitHub a confirmé une violation de ses dépôts internes

L'attaquant a compromis un appareil d'un employé via une extension Visual Studio Code empoisonnée. De ce seul point d'entrée, il s'est déplacé dans les dépôts internes de GitHub, a extrait des secrets, et est parti avec ce qu'il affirme être environ 4 000 dépôts privés de code source et de données internes de l'organisation.
L'acteur de la menace, TeamPCP, a mis en vente tout cela sur le forum Breached hier avec un seuil de 50 000 dollars. Leurs conditions sont directes. Un seul acheteur, pas de négociation, et si personne ne paie, l'ensemble du jeu de données sera divulgué gratuitement.
GitHub indique avoir supprimé la version malveillante de l'extension, isolé l'appareil, changé les secrets critiques, et activé la réponse aux incidents.
L'entreprise maintient qu'il n'y a actuellement aucune preuve d'impact sur les dépôts clients, les entreprises ou les organisations stockées en dehors de sa propre infrastructure interne.
Le vecteur d'attaque est la partie qui mérite réflexion.
Ce n'était pas une faille de la plateforme GitHub. C'était une extension empoisonnée dans le marketplace VS Code, exécutée sur un ordinateur portable de développeur, utilisée pour atteindre tout ce que cet ordinateur pouvait atteindre.
La même semaine, deux workflows GitHub Actions populaires (actions-cool/issues-helper et actions-cool/maintain-one-comment) ont été compromis par manipulation de tags pour exfiltrer des identifiants CI/CD, et une vulnérabilité RCE critique dans GitHub lui-même, CVE-2026-3854, a été corrigée après que des chercheurs ont montré qu'elle pouvait être déclenchée par un seul push git.
Trois incidents distincts, un message cohérent. La plateforme est renforcée. La chaîne d'approvisionnement qui l'entoure est la cible faible.
Pour tous ceux qui construisent sur GitHub en ce moment, la liste de contrôle immédiate est simple.
Auditez les extensions VS Code installées. Fixez les Actions GitHub aux SHAs de commit plutôt qu'aux tags. Changez tous les tokens, clés de déploiement ou secrets qui ont pu toucher un environnement compromis au cours des deux dernières semaines.