Shai-Hulud, troisième service : keyv, 800 packages, et une provenance parfaitement valide

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

🚧 Article en cours de rédaction
Publication prévue le 25/08/2026
Le 4 août 2026, le compte GitHub du mainteneur de keyv tombe. En moins de quatre heures, 440 packages npm sont backdoorés ; le compteur finira au-delà de 800, pour environ deux milliards d'installations mensuelles. Le détail qui doit vous empêcher de dormir : les versions vérolées portent une provenance npm valide, signée par GitHub Actions.
LinkedIn Reddit Substack