En bref
Que s'est-il passé ?
Le 23 mars 2026, un avis signale que tous les tags Git du dépôt Checkmarx/kics-github-action sont compromis : un infostealer est injecté dans setup.sh. KICS est un scanner IaC open source très utilisé en CI/CD.
La branche master reste propre, mais tous les tags de release pointent vers des commits malveillants (empoisonnement de tags) : tout workflow référençant l'action par tag (ex. @v2.1.7, @latest) exécute du code attaquant.
Tout secret accessible aux workflows CI/CD est à considérer compromis (credentials cloud, clés SSH, jetons Kubernetes, PAT GitHub). Même motif que la compromission de Trivy la semaine précédente.
Épingler les actions par SHA de commit complet (jamais par tag), rotation des secrets exposés, filtrer l'egress des runners, et surveiller les mouvements de tags anormaux.
Chronologie de l'attaque
Un avis révèle que tous les tags de Checkmarx/kics-github-action pointent vers des commits malveillants injectant un infostealer dans setup.sh.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Épingler les actions par SHA (jamais par tag mutable) ; jetons CI scopés et courts ; allowlist d'actions.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 3 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :