Aller au contenu
Sécurité medium

GhostAction (3 000+ secrets volés)

3 min de lecture
Point de compromission dans la chaîne Rupture · étape CI/CD
Source
amont
Dépendances
deps
Build & CI
CI/CD
Packaging
artefact
Release
provenance
Registres
distribution
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape CI/CD, propagation possible aux consommateurs. Domaines : Poste de travail, Source, Intégration, Secrets
Gravité élevé
Campagne GhostAction : plus de 3 000 secrets volés via des workflows GitHub malveillants.
327
comptes GitHub
817
dépôts touchés
3 325
secrets exfiltrés
5 sept. 2025
divulgation

En bref

Date
19/09/2025
Gravité
Élevé
Étape de la chaîne
CI/CD
Domaines SOCLE
Poste de travail+ Source, Intégration, Secrets

Que s'est-il passé ?

Contexte

Le 5 septembre 2025, GitGuardian dévoile GhostAction, une campagne de supply chain ayant compromis 327 comptes GitHub sur 817 dépôts.

Mécanisme

Les comptes compromis poussent des workflows malveillants déguisés en amélioration de sécurité (« Add Github Actions Security workflow »). Sans dépendance et en syntaxe standard, le workflow exfiltre les secrets par un curl POST à chaque push ou déclenchement manuel.

Impact

3 325 secrets exfiltrés (jetons PyPI, npm, DockerHub) vers un endpoint attaquant, l'une des plus grandes attaques GitHub Actions coordonnées, avec un risque persistant pluri-écosystèmes.

Parades

Revue obligatoire des modifications de workflow (un ajout de workflow doit alerter), permissions minimales des jetons CI, détection d'egress anormal, et rotation des secrets exposés.

Chronologie de l'attaque

5 septembre 2025
Découverte de GhostAction

GitGuardian révèle la campagne : 327 comptes et 817 dépôts compromis, 3 325 secrets exfiltrés via des workflows malveillants.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Épingler les actions par SHA (jamais par tag mutable) ; jetons CI scopés et courts ; allowlist d'actions.

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 19 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn