En bref
Que s'est-il passé ?
Le 18 mai 2026, la campagne Megalodon injecte des workflows GitHub Actions malveillants dans plus de 5 500 dépôts open source en une fenêtre de six heures, ciblant les dépôts à protection de branche faible.
Attaque d-PPE (Poisoned Pipeline Execution directe) : avec un accès en écriture, l'attaquant pousse des workflows backdoorés directement sur la branche par défaut, contournant toute revue de PR. Chaque exécution suivante vole les secrets (cartographie MITRE ATT&CK T1195.002).
Chaque run compromis livre simultanément credentials cloud, clés SSH, jetons d'API et jetons OIDC GitHub Actions (id-token: write), exposant l'accès direct aux fournisseurs cloud sans identifiant statique.
Protection de branche stricte (revue obligatoire, pas de push direct), détecter les modifications de workflow, permissions minimales et OIDC scopé, et approbation pour les workflows déclenchés par contributions externes.
Chronologie de l'attaque
En six heures, Megalodon pousse des workflows backdoorés sur plus de 5 500 dépôts à protection de branche faible, volant les secrets des runs suivants.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Épingler les actions par SHA (jamais par tag mutable) ; jetons CI scopés et courts ; allowlist d'actions.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 19 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :