Mini Shai‑Hulud : le ver qui a compromis TanStack et propagé une attaque supply‑chain dans tout l’écosystème open source

En mai 2026, l’écosystème open source a été secoué par Mini Shai‑Hulud, un ver de supply‑chain capable de se propager automatiquement à travers les dépendances logicielles. L’attaque a visé des bibliothèques populaires de l’écosystème JavaScript — notamment celles du projet TanStack — avant de se répandre vers d’autres packages npm et PyPI.

Au cours de l’enquête, OpenAI a confirmé que deux appareils d’employés avaient été touchés, tout en indiquant qu’aucune preuve d’accès aux données clients n’avait été trouvée.

L’incident illustre un changement important dans la cybersécurité : les attaquants ciblent de plus en plus les pipelines de développement et de publication automatisés, plutôt que les systèmes de production eux‑mêmes.

Qu’est‑ce que Mini Shai‑Hulud ?

Mini Shai‑Hulud est un ver de supply‑chain auto‑propagateur attribué au groupe d’attaquants TeamPCP. Contrairement aux attaques classiques visant les comptes de mainteneurs, cette campagne s’est concentrée sur les pipelines de publication automatisés utilisés par les projets open source.

Lors de la vague principale de l’attaque, les 11 et 12 mai 2026, les attaquants ont réussi à :

• détourner des workflows de publication GitHub Actions
• exploiter des identités OIDC pour générer des jetons de publication valides
• publier des versions malveillantes directement dans les registres de packages

Ces versions semblaient légitimes car elles provenaient des pipelines officiels et possédaient même des attestations de provenance valides, ce qui a rendu leur détection beaucoup plus difficile pour les outils de sécurité automatisés.

La compromission de l’écosystème TanStack

La cible la plus visible a été TanStack, un ensemble très utilisé de bibliothèques JavaScript (notamment dans l’écosystème React).

En quelques minutes, les attaquants ont publié 84 versions malveillantes dans 42 packages @tanstack/* via le pipeline officiel du projet.

Lorsqu’un développeur installait ces versions, du code malveillant s’exécutait pendant les hooks du gestionnaire de paquets npm, téléchargeant ensuite un programme destiné à voler des identifiants.

Les analyses de sécurité ont montré que la campagne s’est rapidement élargie :

• plus de 170 packages compromis sur npm et PyPI
• 403 versions malveillantes identifiées
• des projets liés à UiPath, Mistral AI, OpenSearch et Guardrails AI également touchés

Cela en fait l’un des plus grands incidents de compromission de dépendances open source observés en 2026.

Comment fonctionnait le malware

Les packages infectés utilisaient des mécanismes standard des gestionnaires de paquets (comme le hook preinstall) pour exécuter du code au moment de l’installation.

Une fois lancé, le malware tentait de collecter différents types d’identifiants présents sur la machine du développeur :

• tokens GitHub (Personal Access Tokens)
• tokens de publication npm
• identifiants cloud (AWS, Azure, GCP)
• secrets Kubernetes
• tokens HashiCorp Vault
• variables d’environnement CI/CD
• clés SSH et fichiers de configuration développeur

Ces identifiants pouvaient ensuite servir à compromettre d’autres dépôts ou pipelines et publier de nouveaux packages infectés, permettant au ver de se propager automatiquement dans l’infrastructure des développeurs.

Comment deux appareils OpenAI ont été touchés

Au cours de cette campagne, des versions malveillantes de packages TanStack ont été installées sur deux appareils d’employés OpenAI dans l’environnement interne de l’entreprise.

OpenAI a indiqué que les attaquants avaient effectué un accès non autorisé avec exfiltration ciblée d’identifiants depuis ces systèmes. Toutefois, l’enquête interne a conclu :

• qu’il n’existe aucune preuve d’accès aux données clients
• que seulement une quantité limitée de matériel d’authentification aurait été exposée

Les informations publiques ne détaillent pas la chaîne d’infection exacte ni la version précise du package TanStack impliquée.

Pourquoi OpenAI a changé les certificats de ses apps macOS

Après l’incident, OpenAI a mis à jour ses recommandations pour les organisations qui utilisent des listes d’autorisation d’applications macOS.

La société a confirmé que l’identité de signature Apple Developer utilisée par ses applications macOS avait changé dans le cadre de la réponse à l’incident.

Points importants pour les administrateurs :

• le Team ID Apple Developer reste le même : 2DC432GLL2
• les systèmes qui autorisent les apps par Team ID peuvent continuer à fonctionner
• les politiques basées sur empreinte de certificat ou nom d’organisation doivent être mises à jour

Les entreprises qui autorisent explicitement les applications doivent vérifier qu’elles approuvent la nouvelle identité de signature OpenAI.

Un impact plus large sur npm et PyPI

L’attaque met en évidence une faiblesse structurelle du développement logiciel moderne : les pipelines automatisés de publication de packages deviennent eux‑mêmes une surface d’attaque.

Contrairement aux attaques supply‑chain traditionnelles qui reposent sur le vol d’identifiants de mainteneurs, Mini Shai‑Hulud a exploité :

• l’automatisation CI/CD
• les identités de publication approuvées
• les modèles de confiance des registres de packages

Résultat : des versions malveillantes pouvaient apparaître parfaitement légitimes et se diffuser très rapidement dans les dépendances logicielles.

Au terme de la plus grande vague de l’attaque :

• plus de 170 packages npm et PyPI étaient compromis
• des centaines de versions malveillantes avaient été publiées
• plusieurs écosystèmes de développeurs ont été temporairement affectés

Ce que les développeurs et utilisateurs OpenAI devraient faire

1. Vérifier les dépendances installées autour du 11–12 mai 2026

Passez en revue les builds ou installations de dépendances effectués pendant la période où les versions malveillantes de TanStack ont été publiées.

2. Réinstaller les packages depuis des versions sûres

Si un projet a installé une version compromise :

• supprimez la dépendance
• installez une version corrigée
• reconstruisez le projet depuis un environnement propre

3. Faire tourner les identifiants

Le malware visant les secrets de développeur, il est prudent de révoquer et régénérer :

• tokens GitHub
• tokens npm ou PyPI
• identifiants cloud
• secrets CI/CD

4. Auditer les workflows GitHub Actions

Les équipes devraient examiner leurs pipelines de publication et vérifier que les configurations OIDC de trusted publishing sont correctement limitées.

5. Mettre à jour les allowlists macOS pour les apps OpenAI

Les organisations utilisant les applications de bureau OpenAI doivent s’assurer que leurs politiques macOS font confiance à la nouvelle identité de signature utilisée par OpenAI.

Ce que révèle cet incident sur la sécurité logicielle

Mini Shai‑Hulud montre que les attaques modernes visent de plus en plus l’infrastructure des développeurs elle‑même. En compromettant les outils et pipelines utilisés pour produire des logiciels, les attaquants peuvent injecter du code malveillant dans des dépendances largement utilisées.

L’incident souligne aussi une évolution inquiétante : même des packages disposant de signatures de publication valides et d’attestations de provenance peuvent être compromis si le pipeline de build lui‑même est détourné.

Pour les équipes qui s’appuient fortement sur l’open source, la surveillance des dépendances, l’isolation des environnements de build et la rotation rapide des identifiants après incident deviennent désormais des pratiques essentielles.