Dans les coulisses de l’attaque supply‑chain « Megalodon » sur GitHub
Le 18 mai 2026, la campagne automatisée « Megalodon » a injecté 5 718 commits malveillants dans 5 561 dépôts GitHub en environ six heures en ajoutant des workflows GitHub Actions conçus pour voler des secrets CI/CD. Les attaquants ont utilisé de faux bots CI, des métadonnées de commit falsifiées et ont ciblé des dép...
What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits intoThe “Megalodon” campaign injected thousands of malicious commits and poisoned CI workflows across GitHub repositories in a matter of hours.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
openai.com
Une attaque massive contre les pipelines CI/CD sur GitHub
Le 18 mai 2026, des chercheurs en cybersécurité ont mis au jour une campagne d’attaque supply‑chain particulièrement rapide baptisée « Megalodon ». En l’espace d’environ six heures, les attaquants ont injecté 5 718 commits malveillants dans 5 561 dépôts GitHub, ce qui en fait l’une des plus grandes campagnes automatisées d’empoisonnement de dépôts observées sur la plateforme.
Plutôt que de modifier directement le code des applications, les attaquants ont ajouté des fichiers de workflow GitHub Actions malveillants. Ces workflows s’exécutaient dans les pipelines CI/CD et tentaient de récupérer des secrets et identifiants dès que l’automatisation du dépôt se lançait.
L’opération s’est déroulée entre 11 h 36 et 17 h 48 UTC, ce qui suggère un système entièrement automatisé conçu pour compromettre un grand nombre de dépôts avant que les mainteneurs ne remarquent les modifications.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Câu trả lời ngắn gọn cho "Dans les coulisses de l’attaque supply‑chain « Megalodon » sur GitHub" là gì?
Le 18 mai 2026, la campagne automatisée « Megalodon » a injecté 5 718 commits malveillants dans 5 561 dépôts GitHub en environ six heures en ajoutant des workflows GitHub Actions conçus pour voler des secrets CI/CD.
Những điểm chính cần xác nhận đầu tiên là gì?
Le 18 mai 2026, la campagne automatisée « Megalodon » a injecté 5 718 commits malveillants dans 5 561 dépôts GitHub en environ six heures en ajoutant des workflows GitHub Actions conçus pour voler des secrets CI/CD. Les attaquants ont utilisé de faux bots CI, des métadonnées de commit falsifiées et ont ciblé des dépôts sans protections de branche strictes afin de pousser directement des workflows malveillants.
Tôi nên làm gì tiếp theo trong thực tế?
L’attaque s’est produite au moment d’un autre incident GitHub impliquant une extension VS Code compromise ayant exposé environ 3 800 dépôts internes, sans preuve publique confirmant un lien opérationnel direct.
Comment des milliers de commits ont été injectés aussi rapidement
La campagne reposait sur l’automatisation et sur des techniques destinées à faire passer les commits malveillants pour de simples opérations de maintenance CI.
Faux bots CI et comptes jetables
Les attaquants ont créé des comptes GitHub temporaires avec des noms aléatoires et ont usurpé l’identité d’outils d’automatisation avec des pseudonymes comme :
build-bot
auto-ci
ci-bot
pipeline-bot
Ces identités donnaient l’impression que les commits provenaient d’un système automatisé légitime plutôt que d’un attaquant humain.
Métadonnées de commit falsifiées
Les informations d’auteur et les messages de commit étaient soigneusement fabriqués pour ressembler à des mises à jour normales de configuration CI. Cette mise en scène a permis aux modifications malveillantes de se fondre dans l’activité habituelle de développement et de retarder les soupçons.
Dépôts avec protection de branche faible
La campagne ciblait principalement des dépôts où les règles de protection de branche étaient inexistantes ou insuffisantes. Sans obligation de passer par une pull request ou par une revue de code, les attaquants pouvaient pousser directement des modifications vers la branche principale.
Workflows GitHub Actions empoisonnés
Chaque commit malveillant ajoutait un workflow GitHub Actions contenant un script Bash encodé en Base64. Lorsque le pipeline CI se déclenchait, ce script s’exécutait sur l’environnement du runner et lançait la collecte d’identifiants.
Dans de nombreux cas, l’attaque restait invisible jusqu’au prochain lancement du pipeline.
Les données sensibles visées par le payload
Le script encodé en Base64 intégré dans les workflows était conçu pour collecter des informations sensibles depuis l’environnement CI avant de les envoyer vers une infrastructure contrôlée par les attaquants.
Les cibles incluaient notamment :
variables d’environnement CI/CD
identifiants cloud (AWS, Google Cloud, Azure)
clés privées SSH
jetons API et secrets d’application
jetons OIDC GitHub Actions
autres secrets de configuration présents dans l’environnement du runner
Le malware collectait les variables d’environnement, des informations système et tous les secrets accessibles au runner CI avant de les exfiltrer vers un serveur de commande et contrôle.
Comme les pipelines CI contiennent souvent des identifiants de déploiement, compromettre l’environnement de build peut ouvrir l’accès à l’infrastructure cloud, aux registres de packages ou aux systèmes de production.
Pourquoi le vol de jetons OIDC est particulièrement critique
L’un des objectifs majeurs du payload Megalodon était de récupérer les jetons OIDC (OpenID Connect) utilisés par GitHub Actions.
Dans les architectures CI/CD modernes, les pipelines utilisent souvent la fédération d’identité OIDC pour s’authentifier auprès des fournisseurs cloud sans stocker de clés permanentes. Un workflow obtient alors un jeton d’identité temporaire que le fournisseur cloud échange contre des identifiants d’accès à durée limitée.
Cette approche améliore la sécurité en supprimant les clés API statiques. Mais elle crée un nouveau risque : si un attaquant parvient à voler ce jeton pendant l’exécution du pipeline, il peut temporairement se faire passer pour l’identité du job CI.
Comme ces jetons sont reconnus par les systèmes d’identité cloud, ils peuvent être échangés contre un accès temporaire aux ressources cloud avec les mêmes permissions que le pipeline de déploiement.
Concrètement, cela peut permettre :
l’accès à l’infrastructure cloud
la compromission de pipelines de déploiement
la récupération de secrets stockés dans des services cloud
Même si les jetons expirent rapidement, les permissions associées peuvent suffire à provoquer une compromission importante pendant cette courte fenêtre.
L’attaque était‑elle liée au piratage GitHub via une extension VS Code ?
À la même période, GitHub a révélé un incident distinct impliquant une extension Visual Studio Code compromise installée sur l’ordinateur d’un employé. Cette extension malveillante a permis aux attaquants d’accéder à environ 3 800 dépôts internes de GitHub avant que l’incident ne soit contenu.
Cette intrusion a été attribuée à un environnement de développement compromis et reposait sur une extension trojanisée distribuée via le marketplace VS Code, capable de récupérer des identifiants et des jetons sur la machine de la victime.
Certains analystes ont noté des similitudes de calendrier et de méthodes avec d’autres attaques visant les outils de développement. Toutefois, aucune preuve publique ne confirme que ce piratage interne ait directement permis l’attaque Megalodon.
Pour l’instant, ces événements sont considérés comme deux incidents distincts mais contemporains affectant l’écosystème des développeurs.
Ce que révèle Megalodon sur la sécurité des pipelines
La campagne Megalodon illustre une évolution des attaques supply‑chain : plutôt que d’altérer le code applicatif, les attaquants ciblent désormais l’infrastructure d’automatisation.
En compromettant les workflows CI, ils peuvent :
voler automatiquement des secrets à chaque exécution de pipeline
accéder aux systèmes de déploiement et aux comptes cloud
dissimuler l’attaque dans des modifications d’automatisation apparemment banales
Comme des milliers de projets s’appuient sur des pipelines CI/CD disposant d’identifiants puissants, une simple modification de workflow peut exposer des secrets à grande échelle dans des systèmes en aval.
L’incident rappelle plusieurs bonnes pratiques essentielles pour les équipes de développement :
appliquer des règles strictes de protection de branche
exiger des revues obligatoires pour les modifications de workflows
limiter les permissions accordées aux jobs CI
surveiller attentivement les comptes d’automatisation et les changements dans les pipelines
À mesure que les pipelines CI/CD contrôlent l’accès aux déploiements et à l’infrastructure cloud, leur sécurité devient un élément central de la défense de la chaîne d’approvisionnement logicielle.
cybersecuritynews.comMegalodon Malware Compromised 5,500+ GitHub Repos Within 6 ...
