Tech

GitHub piraté en mai 2026 : 18 minutes ont suffi — ce que ça change pour toi (et 7 réflexes à adopter ce week-end)

Le 18 mai 2026, une extension VS Code piégée publiée pendant moins de 20 minutes a permis de voler ~3 800 dépôts internes de GitHub. Voici ce qui s'est vraiment passé, pourquoi ça te concerne même si tu n'es pas employée GitHub, et 7 réflexes à adopter ce week-end.

Disclaimer. Article de vulgarisation, pas un avis cyber personnalisé. Pour les décisions critiques (rotation massive de secrets, post-mortem, déclaration ANSSI/CNIL), demande à un(e) pro. Toutes les sources sont en bas — avis officiel GitHub, advisory nrwl/nx-console GHSA-c9j4-9m59-847w, presse spécialisée mai 2026.

18 minutes.

C'est tout ce qu'il a fallu.

Le 18 mai 2026 à 12h30 UTC, une mise à jour piégée d'une extension VS Code utilisée par 2,2 millions de devs est publiée. À 12h48, elle est retirée.

Entre les deux, des milliers de machines de développeurs reçoivent automatiquement le payload — dont celle d'un employé de GitHub.

Résultat 48h plus tard : ~3 800 dépôts internes de GitHub clonés et exfiltrés.

Pas un repo client. Pas Enterprise. Pas tes données. Mais le message envoyé à tous les devs solos qui construisent leur business avec une stack 2026 (VS Code ou Cursor + GitHub + npm + un peu d'AWS), c'est : ton IDE est devenu ton maillon faible.

Et personne ne va te le sécuriser à ta place.

Ce qui s'est passé (vraiment)

Le coupable s'appelle TeamPCP (suivi par Google Threat Intelligence sous le code UNC6780). Le vecteur, c'est une version piégée de Nx Console v18.95.0 — une extension Visual Studio Code populaire dans l'écosystème Angular/Nx.

Ce qui rend l'histoire intéressante, ce n'est pas le hack final. C'est la chaîne en amont.

Compromission TanStack (paquet npm, avril-mai 2026)
        ↓ vol des credentials GitHub d'un dev Nx
Push malveillant dans le repo officiel nrwl/nx-console
        ↓
Publication Nx Console 18.95.0 sur le Visual Studio Marketplace
(signée par le bon éditeur — Nrwl)
        ↓
Auto-update silencieux sur des milliers de machines
        ↓
Vol de tokens GitHub, npm, AWS, HashiCorp Vault, Kubernetes, 1Password
        ↓
Sur 1 machine = un employé GitHub : clonage de ~3 800 repos internes

Trois choses à retenir :

1. L'éditeur était légitime. La signature Nrwl n'a rien empêché. Ce n'est pas le marketplace qui a été piraté, c'est le code source en amont qui a été altéré via des credentials volés. Si tu pensais que « publisher vérifié = safe », cette page tourne.

2. Le payload visait aussi les IA. Parmi les fichiers ciblés : ~/.claude/settings.json. À ma connaissance, c'est l'un des premiers payloads documentés à viser explicitement les configs d'assistants IA. Ça vaut aussi pour Cursor (~/.cursor/), Continue, et tout ce qui s'installe dans ton home avec des tokens.

3. La même semaine, en parallèle. Une autre attaque baptisée « Megalodon » injectait des workflows GitHub Actions malveillants dans 5 561 dépôts publics, tous le 18 mai, sur 6 heures. Pas le même groupe officiellement. Mais la même semaine, le même écosystème, la même pression.

Ce n'est plus un incident. C'est un climat.

Pourquoi ça te concerne (même si tu n'as pas Nx Console)

Tu te dis : « j'utilise pas Nx, pas mon problème ». C'est l'angle mort.

N'importe quelle extension VS Code ou Cursor que tu as installée peut, demain, recevoir une mise à jour piégée. L'auto-update est silencieux par défaut. Tu peux te réveiller avec un payload dans ton IDE sans avoir cliqué nulle part.

Si tu hésites encore entre IDE et que tu veux comprendre ce qui se joue côté Cursor, j'ai détaillé les arbitrages dans Cursor 3 vs Windsurf en 2026.

Et il y a aussi le scénario indirect, plus vicieux : tes dépendances npm transitives. Si ta stack utilise TanStack Query, React Query, Router, Form ou Table, tes builds de ces dernières semaines ont potentiellement tiré la version compromise. Sur ton runner Vercel, ton token GitHub et ton token Vercel sont peut-être passés en clair sur un serveur attaquant — pendant que tu continuais à git push tranquillement.

C'est ça, le modèle de menace 2026 : tu n'as plus besoin de cliquer sur un lien suspect. Il te suffit d'exister dans l'écosystème.

La vraie leçon : ton IDE n'est plus un outil, c'est un périmètre

Pendant 15 ans, on a séparé mentalement « le code sérieux » (le repo, GitHub, le serveur) du « confort personnel » (l'IDE, ses plugins). L'IDE, c'était cosy.

Cette époque est finie.

Ton IDE :

  • lit ton ~/.ssh/,
  • lit ton gh auth token et tes tokens npm,
  • exécute du code arbitraire à chaque update d'extension,
  • pousse git push et terraform apply avec des secrets que tu as oubliés,
  • a souvent un agent IA branché qui peut, lui aussi, lire tes fichiers.

Microsoft a réagi le 22 mai 2026 en activant Device Protection dans VS Code : par défaut, tout paquet ou extension publié dans les 48 dernières heures est bloqué à l'installation, avec fallback automatique vers la version sûre précédente. GitHub a sorti le même jour staged publishing sur npm (npm stage publish en CLI 11.15.0) : un token CI volé ne peut plus publier seul, il faut une approbation 2FA humaine en plus.

Deux patchs utiles. Mais ils ne te protègent pas si tu n'es pas à jour, si tu utilises Cursor/Windsurf (qui n'ont pas encore Device Protection), ou si l'attaque vient d'ailleurs.

Conclusion : il faut traiter ta machine de dev comme une zone à risque. Pas comme un PC perso.

7 réflexes que tu peux adopter dès ce week-end

Ce ne sont pas des chantiers d'entreprise. Ce sont des gestes solos, faisables ce samedi. Classés du plus simple au plus structurant.

1. Liste tes extensions et coupe la moitié

Regarde la liste honnêtement. Celles que tu n'utilises pas chaque semaine ? Désinstalle, pas désactive. Une extension désactivée garde son code sur ta machine ; une désinstallée disparaît.

Pour les autres, jette un œil rapide à l'éditeur (publisher). Si le nom ne te dit rien, va vérifier sur GitHub. Une extension avec 200 installs et un publisher anonyme qui a accès à ton workspace, c'est un risque énorme pour un confort cosmétique.

2. Coupe l'auto-update et impose ta fenêtre de quarantaine

La règle perso : aucune mise à jour d'extension dans les 48 heures suivant sa publication. Tu veux automatiser ça ? Une ligne "extensions.autoUpdate": false dans les settings et tu décides au cas par cas.

C'est exactement ce que Microsoft vient d'intégrer par défaut. Applique-le toi-même, sans attendre. 18 minutes ont suffi pour Nx Console. 48h de quarantaine te protègent dans 99 % des cas.

3. Range tes tokens GitHub

Si tu as encore des Personal Access Tokens classiques (ghp_...), supprime-les ce week-end. Recrée des fine-grained PAT à la place :

  • scope limité à un ou deux repos précis,
  • expiration max 90 jours,
  • permissions minimales.

Pour ton CI/CD (Vercel, GitHub Actions, AWS), passe à OIDC : ton runner échange un JWT court contre des credentials AWS à chaque build. Plus de long-lived token qui traîne.

Et si tu publies sur npm, active staged publishing dès cette semaine. C'est gratuit, c'est officiel, c'est ce que GitHub vient de déployer en réponse exacte à ce hack.

Si la base MFA + clés SSH + tokens propres n'est pas encore posée chez toi, commence par sécuriser tes comptes dev — c'est la fondation sur laquelle tout le reste tient.

4. Sépare ton workspace de ta machine

Ta machine perso contient ton SSH, tes mots de passe, tes photos, ta vie. Pourquoi est-ce que ton IDE expérimental tourne au même endroit ?

Trois options selon ton niveau :

  • Le plus simple — Dev Containers VS Code. Tu codes dans un container Docker qui ne voit pas ton ~/.ssh ni tes credentials globaux. Une extension piégée, si elle frappe, reste dans le container. Setup : 30 minutes.
  • Intermédiaire — une VM dédiée. Multipass, UTM (Mac), WSL2 ou Hyper-V (Windows), VirtualBox (tous OS). Snapshot tous les vendredis, rollback si ça vire bizarre.
  • Le plus rigoureux — une 2e machine physique pour le code business critique uniquement (déploiement, signing keys, comptes admin). Une vieille machine reconditionnée à 200€ suffit.

5. Empêche tes propres secrets de fuir

Plusieurs outils gratuits scannent ton code en local avant chaque commit et bloquent les secrets oubliés (clés API, tokens, mots de passe).

Les trois plus solides en 2026 : gitleaks (le plus léger, 100 % open source), ggshield de GitGuardian (couvre 550+ types de secrets, compte gratuit requis, hooks Cursor + Claude Code), TruffleHog (vérifie si le secret détecté est encore actif).

Tous marchent sur Windows, Mac et Linux. Si tu débutes, commence par ggshield ou gitleaks — installation en 5 minutes.

6. Sors tes bijoux de GitHub

C'est le geste le plus radical, et celui qui change vraiment le modèle de menace.

Toutes tes données n'ont pas la même valeur. Le repo de ton blog peut rester sur GitHub. Mais ton code propriétaire (le SaaS que tu construis, tes configs Terraform, les playbooks avec creds, les templates que tu vends) — pourquoi est-ce sur l'infra d'un tiers qui vient de prouver qu'elle peut être compromise via une extension d'IDE ?

Les options sérieuses : Forgejo (fork libre de Gitea) ou Gitea auto-hébergés sur un VPS à 5-10€/mois, ou Codeberg (instance gratuite hébergée par une asso allemande, idéale pour l'open source).

Attention : self-host mal configuré = juste un risque déplacé. Lis la doc d'hardening, active 2FA + clés SSH-only dès le départ.

7. Mets des sentinelles gratuites

Tu n'as pas de SOC. Mais GitHub te donne gratuitement de quoi voir venir :

  • Secret Scanning Alerts sur tous tes repos privés (gratuit depuis 2023). Active-le dans Settings → Code security.
  • Dependabot Security Updates sur tous tes repos actifs.
  • Email d'alerte sur tout nouveau login depuis un device non reconnu.
  • Un journal d'extensions : un simple fichier extensions-audit-YYYY-MM-DD.txt daté que tu archives tous les 1ers du mois. La prochaine fois qu'une extension est compromise, tu peux dater ton exposition à la minute.

Le minimum si tu fais une seule chose

Tu as 30 minutes. Voici l'ordre :

  1. Liste tes extensions (code --list-extensions --show-versions) → archive le résultat.
  2. "extensions.autoUpdate": false dans settings.json.
  3. Remplace tes PAT classiques par des fine-grained, expiration 90j max.
  4. Active Secret Scanning + Dependabot sur tes repos.
  5. Sauvegarde tes secrets critiques hors GitHub (un fichier age-chiffré sur un disque externe suffit).

Pourquoi je raconte ça ici

Parce que la méthode CodingQueen40 — « construis ton business tech après 40 ans avec les outils de 2026 » — n'a plus de sens si on traite la cybersécurité comme un sujet d'expert. C'est devenu une compétence business.

Une solopreneuse qui se fait vider son compte GitHub perd son code, parfois son domaine si l'email est lié, son audience si le blog est défacé, ses revenus pendant des semaines.

Le hack des semaines 20-21, ce n'est pas un événement isolé. C'est la nouvelle ligne de base. TeamPCP a déjà mené 20 vagues d'attaques documentées en 2026. Il y en aura d'autres.

Le seul levier qu'on a, c'est de bouger sur le périmètre qui nous appartient : notre poste de travail, nos tokens, nos backups.

Bonne sécurisation de week-end. On y va.

Sources principales

  • GitHub Blog — Strengthening supply chain security: Preparing for the next malware campaign (mai 2026)
  • GitHub Advisory GHSA-c9j4-9m59-847w — Compromised Nx Console version 18.95.0
  • Nx Devtools (X/Twitter officiel) — SECURITY ADVISORY: A malicious version of Nx Console v18.95.0 was published today at 2:36 PM CEST (18 mai 2026)
  • The Hacker News — GitHub Internal Repositories Breached via Malicious Nx Console VS Code Extension (20 mai 2026)
  • The Hacker News — npm Adds 2FA-Gated Publishing and Package Install Controls Against Supply Chain Attacks (mai 2026)
  • Help Net Security — TeamPCP breached GitHub's internal codebase via poisoned VS Code extension (20 mai 2026)
  • Help Net Security — GitHub, Grafana Labs breaches traced back to TanStack supply chain compromise (21 mai 2026)
  • BleepingComputer — GitHub confirms breach of 3,800 repos via malicious VSCode extension
  • SecurityWeek — Over 5,500 GitHub Repositories Infected in 'Megalodon' Supply Chain Attack
  • TechCrunch — GitHub says hackers stole data from thousands of internal repositories (20 mai 2026)
  • StepSecurity — Nx Console VS Code Extension Compromised
  • Palo Alto Unit 42 — The npm Threat Landscape: Attack Surface and Mitigations (mis à jour 21 mai 2026)
  • VS Code Docs — Extension runtime security
  • Forgejo Documentation — forgejo.org/docs/
  • gitleaks — github.com/gitleaks/gitleaks

Article rédigé le 28 mai 2026. Le paysage évolue chaque semaine — vérifie les sources officielles GitHub et l'advisory Nx avant toute action critique.

Tu envisages une reconversion dans la tech ? Télécharge la checklist gratuite « Reconversion tech après 40 ans » — 10 étapes concrètes pour poser les bonnes bases, sans te perdre dans les mauvaises décisions. → Télécharger la checklist gratuitement

Tu retrouveras d'autres guides pratiques dans la section Tech.