Attaque par la chaîne d’approvisionnement de plusieurs paquets NPM
Une gestion de version détaillée se trouve à la fin de ce document.
Le CERT-FR a connaissance d'une vague de compromission de paquets NPM ayant débuté le 23 novembre 2025. En date du 26 novembre 2025, plus de 700 paquets ont été affectés. Ce nombre important est dû à l'auto-réplication du logiciel malveillant. Seules quelques versions de ces paquets, les plus récentes, ont été compromises. Plusieurs d'entre elles ont été supprimées par les développeurs par la suite.
Cette campagne est nommée Sha1-Hulud 2.0, Shai-Hulud ou Shai Hulud dans plusieurs billets de blogues. Elle constitue la deuxième vague après celle présentée en septembre 2025, dans le bulletin d'actualité CERTFR-2025-ACT-040, et présente un niveau de sophistication accru.
L'essentiel
- Le CERT-FR a connaissance d'une vague de compromission de paquets NPM ayant débuté le 23 novembre 2025.
- En date du 26 novembre 2025, plus de 700 paquets ont été affectés.
Faits relevés dans le texte officiel cité ci-dessus (Extrait du communiqué officiel — ANSSI, Licence Ouverte).
Quelles publications couvrent ce sujet ?
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
L'extrait cité en tête d'article est le texte officiel d'ouverture de la publication source, reproduit sans modification parce que son émetteur l'autorise expressément (Extrait du communiqué officiel — ANSSI, Licence Ouverte). Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.