Aller au contenu

Nouméa

Veille active

Le défilement s’arrête au survol ou au focus.

Sujets5Critiques4Exploitées KEV5KEVLangflow exposé à une vulnérabilité critique d'injection de codeKEVUne vulnérabilité critique menace SharePoint et nécessite une mise à jour urgenteKEVUne faille critique touche VeloCloud Orchestrator et nécessite une mise à jourKEVFaille critique d'injection de commandes dans Collabora Online Built-in CODE ServerCERT-FR[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)CERT-FRVulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)CERT-FRIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026)Flux CERT-FRsynchronisé 25 octobre 2026, 15 h 36Flux CISA KEVsynchronisé 25 octobre 2026, 15 h 36Flux EPSSsynchronisé 25 octobre 2026, 15 h 36

ActualitéImportance moyenne

Tensorlake : une version piégée publiée sur npm depuis un compte de mainteneur compromis

L’éditeur Tensorlake indique qu’une version non autorisée de son paquet npm, la 0.5.144, a été publiée le 8 octobre 2026 depuis un compte de mainteneur compromis. Elle est restée en ligne environ 1 h 40 et collectait des identifiants sur les machines où elle s’installait.

CyberBase, édition de l'aube du dimanche 1 source

Illustration de « Tensorlake : version npm piégée » : le pictogramme de la rubrique Actualité et le nom du sujet sur une image de fond assombrie

Pour les pros

Pour les professionnels

Le contexte

Selon l’avis de sécurité de Tensorlake, la version 0.5.144 a été publiée avec le processus officiel de publication, après une poussée de code malveillant directement dans le dépôt : elle porte donc une provenance npm valide. Seul le paquet npm est touché (pas PyPI, crates.io ni l’outil en ligne de commande). Le code, exécuté à l’installation (hook preinstall), collecte des identifiants (jetons GitHub et npm, clés cloud, SSH et GPG, fichiers .env, mots de passe de navigateur, portefeuilles) et tente de se propager. L’éditeur rattache l’épisode à la campagne « Mini Shai-Hulud » suivie par Socket, SafeDep et Aikido.

Ce qui s'est passé, jour après jour

  1. La version 0.5.144 de Tensorlake est publiée sur npm à 01 h 12 UTC depuis un compte de mainteneur compromis.

  2. La version cesse d’être disponible à 02 h 54 UTC, soit environ 1 h 40 de présence en ligne ; l’éditeur dit n’avoir vu aucune utilisation de cette version.

  3. Tensorlake publie un avis de sécurité noté 9,6 sur 10 (gravité critique) et recommande de revenir à la version 0.5.143.

Qui est concerné

  • Tensorlake
  • npm
  • GitHub
  • Socket
  • SafeDep
  • Aikido

À faire, dans l'ordre

  1. Chercher la version piégée : lancer npm list tensorlake et examiner les fichiers de verrouillage (package-lock.json, yarn.lock, pnpm-lock.yaml) pour tensorlake@0.5.144 et les paquets tensorlake-native.

  2. Contrôler les journaux de compilation : toute installation résolue vers 0.5.144 entre 01 h 12 et 02 h 54 UTC le 8 octobre est suspecte.

  3. Si la version a été installée avec les scripts d’installation actifs : déconnecter la machine, supprimer le service gh-token-monitor avant de révoquer le moindre jeton GitHub (il efface le dossier personnel si le jeton est révoqué), puis changer tous les identifiants depuis une machine saine.

  4. Vérifier les paquets et dépôts accessibles avec ces jetons (publications ou commits inattendus), puis reconstruire la machine à partir d’une image de confiance.

  5. Revenir à la version 0.5.143, que l’éditeur donne pour saine.

En clair

Pour tout le monde

  1. Les développeurs construisent leurs logiciels avec des briques toutes faites, téléchargées sur des dépôts publics comme npm. Le 8 octobre, quelqu’un a pris la main sur le compte d’un responsable de la brique Tensorlake et y a publié une version piégée, restée en ligne environ 1 h 40. Elle volait des mots de passe et des clés d’accès. Si vous développez des logiciels, vérifiez que la version 0.5.144 n’a pas été installée chez vous. Les internautes qui utilisent simplement des sites ne sont pas concernés.

Ce que ça change dans le Pacifique

Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna

Aucun lien avec le Pacifique n’est établi à ce jour. Tensorlake est une brique de développement : seuls les développeurs, agences ou prestataires locaux qui l’auraient installée le 8 octobre entre 01 h 12 et 02 h 54 UTC sont concernés. Un contrôle des dépendances et des journaux de compilation suffit à lever le doute.

Réseau de sources

Qui a relevé l’alerte, et quelles autorités la documentent.

  • Avis de sécurité de l’éditeur

Sources (1)