En bref
Que s'est-il passé ?
Le 18 mai 2026, une version compromise de l'extension VS Code Nx Console (nrwl.angular-console v18.95.0, 2,2 M d'installations) est publiée sur le Marketplace. Conséquence majeure : ~3 800 dépôts internes de GitHub exfiltrés après compromission d'un poste employé.
Dès l'ouverture d'un workspace, l'extension récupère et exécute une charge obfusquée (498 Ko) depuis un commit orphelin caché dans le dépôt officiel nrwl/nx. L'accès initial provient d'un jeton de contributeur volé.
Allowlist et revue des extensions d'éditeur, vérification de l'éditeur et device trust, jetons de contributeur courts et scopés, surveillance des commits orphelins, et filtrage DNS/egress des postes.
Chronologie de l'attaque
Nx Console v18.95.0 est publiée sur le VS Code Marketplace ; elle s'exécute dès l'ouverture d'un workspace et reste en ligne environ 11 minutes.
GitHub révèle l'exfiltration d'environ 3 800 dépôts internes après compromission d'un poste par l'extension.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Allowlist et revue des extensions IDE ; vérification de l'éditeur ; device trust.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 12 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :