veilletech.frCe qui se passe
Fin juillet 2026, GitHub a annoncé qu'il reprendrait dans sa base d'avisories les données du dépôt malicious-packages de l'OpenSSF (Open Source Security Foundation). Depuis, les alertes de paquets malveillants couvrent huit écosystèmes : crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI et RubyGems. Avant, seul npm en bénéficiait. L'OpenSSF vient d'en tirer un bilan, que heise a relayé le 19 octobre.
Le mécanisme
Le dépôt de l'OpenSSF est public, tenu par la communauté et rédigé au format OSV. Lancé en 2023 avec plus de 15 000 entrées, il compte aujourd'hui plus de 238 000 signalements, dont plus de 28 000 viennent de GitHub, l'une des trois sources d'origine. Les autres fournisseurs cités : Package Analysis (le projet de l'OpenSSF), Amazon Inspector, Checkmarx, Google et ReversingLabs.
Selon le responsable de l'équipe Dependabot cité par GitHub, bâtir ses propres détections pour huit écosystèmes aurait pris des années : l'OpenSSF avait déjà résolu l'agrégation. GitHub a écrit un outil d'import qui vérifie les signalements, uniformise les données, traite les avisories retirées, évite les doublons, plafonne les lots et permet d'en annuler un entier.
Ce qu'il faut faire, et les pièges
- Les alertes malware de Dependabot sont facultatives : elles s'ajoutent aux alertes de vulnérabilités, dans chaque dépôt où celles-ci sont actives. Une organisation peut les déployer d'un coup avec les Security Configurations. Qui les avait déjà activées profite de la couverture élargie sans rien faire.
- Dans la base d'avisories de GitHub, le filtre
type:malwareliste ces signalements. - Un paquet interne portant le nom d'un paquet public malveillant provoque des faux positifs. La règle d'auto-triage prête à l'emploi « Dismiss package malware alerts », désactivée par défaut, les écarte, mais elle ferme aussi les alertes sur des dépendances qui sont réellement malveillantes dans toutes leurs versions.
Source : heise Developer, 19 octobre 2026. Source en allemand. Les sources primaires que heise cite, et que cette fiche n'a pas relues directement : l'étude de cas de l'OpenSSF (16 octobre 2026) et le billet de GitHub d'août 2026 (How we took malware advisories beyond npm).