Dominos

Le paquet NPM du CLI de Bitwarden publié comme la version 2026.4.0 est en fait un malware qui récupère les secrets, clés SSH et autres identifiants. Cette version a été rapidement étiquetée comme « obsolète » et l’équipe du projet a contacté NPM pour que le paquet soit retiré au plus vite.

Dans la série des attaques de la supply chain, on continue. Après Trivy, LiteLLM, Axios et hier Xinference, on ajoute aujourd’hui le client en ligne de commande du gestionnaire de mots de passe Bitwarden. Cette fois, c’est le paquet NPM (Node Package Manager) du CLI qui a été visé avec l’utilisation du numéro de version 2026.4.0, la légitime dernière version 2026.3.0 ayant été publiée il y a trois semaines.

L’alerte vient de l’équipe de l’entreprise de sécurité JFrog. Prévenue par un utilisateur, l’équipe de Bitwarden a répondu avoir bien constaté le problème : « Nous avons depuis étiqueté comme « obsolète » cette version et contacté NPM pour qu’elle soit supprimée ». Aucun autre paquet ou application/extension de Bitwarden ne semble compromis, pas plus que les coffres-forts des utilisateurs.

De fait, expliquent les chercheurs de JFrog, le paquet vérolé utilise les mêmes métadonnées dans le fichier build/bw.js que la 2026.3.0 du paquet, mais elle renvoie le fichier preinstall et le binaire bw vers un script bw_setup.js. Celui-ci vérifie d’abord si l’environnement d’exécution JavaScript Bun est installé et en récupère une version si ce n’est pas le cas.

Encore une récupération des secrets, avec un traitement spécial pour GitHub

Suite à ça, le paquet verolé peut lancer l’attaque via l’exécution du fichier bw1.js. Celui-ci cible des fichiers de configuration utilisés par les développeurs pour stocker des informations comme les clés SSH, les identifiants Git, NPM, AWS, Google Cloud Platform, ou encore les fichiers de configuration de l’IA Claude ou de celle de Kiro.

Concernant GitHub, le paquet pirate va plus loin. D’abord, il vérifie que les identifiants sont bons via https://api.github.com/user. Ensuite, il va essayer d’extraire davantage d’informations confidentielles hébergées sur GitHub.

Concernant l’exfiltration, le paquet vérolé a deux méthodes possibles. Soit il exfiltre les données via une requête POST après les avoir sérialisées dans un JSON, compressées et chiffrées. Si cette méthode ne fonctionne pas, il peut utiliser GitHub pour stocker dans un nouveau dépôt les blobs JSON des données récupérées.

Pour celles et ceux qui auraient installé cette fausse version 2026.4.0 du CLI de Bitwarden, il faut partir du principe que les identifiants des outils cités ci-dessus sont compromis, explique JFrog. Il faut donc d’abord désinstaller le paquet NPM @bitwarden/cli et renouveler les secrets susceptibles d’avoir été compromis. Voici les commande proposées (la dernière permet d’empêcher l’exécution automatique de scripts à l’installation de paquets) :

npm uninstall -g @bitwarden/cli
npm cache clean --force
npm config set ignore-scripts true

Pour chercher des traces du piratage et du téléchargement de Bun, voici deux commandes proposées par Jfrog. Si vous avez des résultats, alors inquiétez-vous.

rg -n "audit\\.checkmarx\\.cx|LongLiveTheResistanceAgainstMachines|beautifulcastle" .
ls -la bun bun.exe bw1.js bw_setup.js 2>/dev/null

Encore TeamPCP ?

Dans le titre de son billet sur cette attaque, JFrog l’attribue rapidement au groupe de pirates TeamPCP qui serait aussi responsable de celle contre Xinference. Mais son équipe ne donne aucune information qui pourrait permettre d’identifier le groupe. Sur X, le compte « officiel » de TeamPCP a été suspendu.

De son côté, Socket estime que « ce paquet a été compromis lors de ce qui semble être une nouvelle attaque de TeamPCP ». « L’attaque semble avoir exploité une action GitHub compromise dans le pipeline CI/CD de Bitwarden, ce qui correspond au schéma observé dans d’autres dépôts touchés par cette campagne », explique d’ailleurs Socket qui ajoute que cette attaque se place dans la continuité de celle que l’entreprise a découverte hier sur la supply chain Checkmarx de KICS.

Dans un message, l’équipe de Bitwarden a confirmé avoir identifié que cette version vérolée du paquet a été distribuée pendant environ 1h30 ce mercredi 22 avril et qu’elle se situait « dans le cadre d’un incident plus général affectant la supply chain de Checkmarx ».

• Hackerbot-claw : un bot exploite GitHub Actions et vide le dépôt de Trivy

Elle explique que son enquête « n’a révélé aucun élément indiquant que les données du coffre-fort des utilisateurs finaux aient été consultées ou aient été exposées à un risque, ni que les données ou les systèmes de production aient été compromis. Dès que le problème a été détecté, les accès compromis ont été révoqués, la version malveillante de npm a été retirée, et des mesures correctives ont été immédiatement mises en œuvre ».

« Bitwarden a mené à bien un examen de ses environnements internes, de ses processus de déploiement et des systèmes associés, et aucun autre produit ou environnement affecté n’a été identifié à ce stade. Un CVE concernant la version 2026.4.0 de Bitwarden CLI est en cours d’émission dans le cadre de cet incident », ajoute l’équipe.

Dominos

Le paquet NPM du CLI de Bitwarden publié comme la version 2026.4.0 est en fait un malware qui récupère les secrets, clés SSH et autres identifiants. Cette version a été rapidement étiquetée comme « obsolète » et l’équipe du projet a contacté NPM pour que le paquet soit retiré au plus vite.

Dans la série des attaques de la supply chain, on continue. Après Trivy, LiteLLM, Axios et hier Xinference, on ajoute aujourd’hui le client en ligne de commande du gestionnaire de mots de passe Bitwarden. Cette fois, c’est le paquet NPM (Node Package Manager) du CLI qui a été visé avec l’utilisation du numéro de version 2026.4.0, la légitime dernière version 2026.3.0 ayant été publiée il y a trois semaines.

L’alerte vient de l’équipe de l’entreprise de sécurité JFrog. Prévenue par un utilisateur, l’équipe de Bitwarden a répondu avoir bien constaté le problème : « Nous avons depuis étiqueté comme « obsolète » cette version et contacté NPM pour qu’elle soit supprimée ». Aucun autre paquet ou application/extension de Bitwarden ne semble compromis, pas plus que les coffres-forts des utilisateurs.

De fait, expliquent les chercheurs de JFrog, le paquet vérolé utilise les mêmes métadonnées dans le fichier build/bw.js que la 2026.3.0 du paquet, mais elle renvoie le fichier preinstall et le binaire bw vers un script bw_setup.js. Celui-ci vérifie d’abord si l’environnement d’exécution JavaScript Bun est installé et en récupère une version si ce n’est pas le cas.

Encore une récupération des secrets, avec un traitement spécial pour GitHub

Suite à ça, le paquet verolé peut lancer l’attaque via l’exécution du fichier bw1.js. Celui-ci cible des fichiers de configuration utilisés par les développeurs pour stocker des informations comme les clés SSH, les identifiants Git, NPM, AWS, Google Cloud Platform, ou encore les fichiers de configuration de l’IA Claude ou de celle de Kiro.

Concernant GitHub, le paquet pirate va plus loin. D’abord, il vérifie que les identifiants sont bons via https://api.github.com/user. Ensuite, il va essayer d’extraire davantage d’informations confidentielles hébergées sur GitHub.

Concernant l’exfiltration, le paquet vérolé a deux méthodes possibles. Soit il exfiltre les données via une requête POST après les avoir sérialisées dans un JSON, compressées et chiffrées. Si cette méthode ne fonctionne pas, il peut utiliser GitHub pour stocker dans un nouveau dépôt les blobs JSON des données récupérées.

Pour celles et ceux qui auraient installé cette fausse version 2026.4.0 du CLI de Bitwarden, il faut partir du principe que les identifiants des outils cités ci-dessus sont compromis, explique JFrog. Il faut donc d’abord désinstaller le paquet NPM @bitwarden/cli et renouveler les secrets susceptibles d’avoir été compromis. Voici les commande proposées (la dernière permet d’empêcher l’exécution automatique de scripts à l’installation de paquets) :

npm uninstall -g @bitwarden/cli
npm cache clean --force
npm config set ignore-scripts true

Pour chercher des traces du piratage et du téléchargement de Bun, voici deux commandes proposées par Jfrog. Si vous avez des résultats, alors inquiétez-vous.

rg -n "audit\\.checkmarx\\.cx|LongLiveTheResistanceAgainstMachines|beautifulcastle" .
ls -la bun bun.exe bw1.js bw_setup.js 2>/dev/null

Encore TeamPCP ?

Dans le titre de son billet sur cette attaque, JFrog l’attribue rapidement au groupe de pirates TeamPCP qui serait aussi responsable de celle contre Xinference. Mais son équipe ne donne aucune information qui pourrait permettre d’identifier le groupe. Sur X, le compte « officiel » de TeamPCP a été suspendu.

De son côté, Socket estime que « ce paquet a été compromis lors de ce qui semble être une nouvelle attaque de TeamPCP ». « L’attaque semble avoir exploité une action GitHub compromise dans le pipeline CI/CD de Bitwarden, ce qui correspond au schéma observé dans d’autres dépôts touchés par cette campagne », explique d’ailleurs Socket qui ajoute que cette attaque se place dans la continuité de celle que l’entreprise a découverte hier sur la supply chain Checkmarx de KICS.

Dans un message, l’équipe de Bitwarden a confirmé avoir identifié que cette version vérolée du paquet a été distribuée pendant environ 1h30 ce mercredi 22 avril et qu’elle se situait « dans le cadre d’un incident plus général affectant la supply chain de Checkmarx ».

• Hackerbot-claw : un bot exploite GitHub Actions et vide le dépôt de Trivy

Elle explique que son enquête « n’a révélé aucun élément indiquant que les données du coffre-fort des utilisateurs finaux aient été consultées ou aient été exposées à un risque, ni que les données ou les systèmes de production aient été compromis. Dès que le problème a été détecté, les accès compromis ont été révoqués, la version malveillante de npm a été retirée, et des mesures correctives ont été immédiatement mises en œuvre ».

« Bitwarden a mené à bien un examen de ses environnements internes, de ses processus de déploiement et des systèmes associés, et aucun autre produit ou environnement affecté n’a été identifié à ce stade. Un CVE concernant la version 2026.4.0 de Bitwarden CLI est en cours d’émission dans le cadre de cet incident », ajoute l’équipe.

Pings indiscrets

Les récentes mises à jour de iOS et iPadOS bloquent la méthode d’extraction de données que le FBI a utilisée pour récupérer des messages Signal dans les notifications d’un iPhone.

Apple vient de mettre à jour en urgence, ce mercredi 22 avril, ses systèmes d’exploitation iPhone et iPad pour résoudre un problème de sécurité qui permettait de récupérer des informations comme des messages Signal.

L’entreprise explique succinctement que la vulnérabilité, identifiée par l’entreprise sous la référence CVE-2026-28950, consistait dans le fait que « les notifications marquées pour suppression [pouvaient] être conservées de manière inattendue sur l’appareil ». La description de la résolution indique sans plus de précisions qu’Apple a utilisé une meilleure méthode pour qu’elles ne soient plus accessibles.

La faille concerne aussi bien iOS 26 et iPadOS 26 que iOS 18 et iPadOS 18. Leurs utilisateurs sont donc invités à effectuer la mise à jour vers les dernières versions afin d’éviter d’être affectés par cette faille de sécurité.

Une faille exploitée par le FBI pour retrouver des messages sur Signal

L’entreprise ne détaille pas dans quelles circonstances elle s’est rendu compte du problème ni si la faille a été exploitée. Mais il y a 15 jours, 404 Media nous apprenait justement que le FBI avait utilisé la base de données de notification de l’iPhone d’un suspect pour récupérer des messages Signal, alors que celui-ci avait supprimé les messages et désinstallé l’application au préalable.

Le service de renseignement intérieur des États-Unis enquêtait sur les tirs de feux d’artifice devant un centre de détention de l’ICE en juillet 2025. Le procès de neuf activistes se tenait en mars dernier. Alors que leurs avocats ont affirmé qu’ils étaient venus avec les feux d’artifice pour les tirer en signe de solidarité avec les détenus, l’accusation de tentative de meurtre sur la personne d’agents et d’employés des États-Unis a été retenue contre l’un d’entre eux et les autres ont été reconnus coupables d’émeutes, d’aide matérielle à des terroristes, de complot en vue d’utiliser et de transporter des explosifs et d’utilisation et de transport d’explosifs.

À l’occasion du procès, un proche de ces activistes a expliqué à 404 Media : « Nous avons appris que, sur les iPhone en particulier, si les paramètres de l’application Signal autorisent l’affichage des notifications et des aperçus de messages sur l’écran de verrouillage, l’iPhone stocke alors ces notifications et aperçus de messages dans la mémoire interne de l’appareil ».

Le site dédié à leur défense, créé par leurs proches, détaille une des pièces à conviction présentée au procès : « Les messages ont été récupérés sur le téléphone de Sharp [le surnom d’un des accusés] grâce à la mémoire interne d’Apple dédiée aux notifications : l’application Signal avait été supprimée, mais les notifications reçues avaient été conservées dans la mémoire interne. Seuls les messages reçus ont été récupérés (pas ceux envoyés) ».

Pas d’autres actions à faire que de mettre à jour

Par défaut, les notifications envoyées par Signal affichent des métadonnées comme la date et l’heure de réception, le nom de l’utilisateur, mais aussi une partie du corps de certains messages. Il est cependant possible de cacher ces informations au service de notification via le menu de configuration de Signal :

« Nous sommes très heureux qu’Apple ait publié aujourd’hui un correctif et un avis de sécurité. Cette annonce fait suite à un article de 404 Media révélant que le FBI avait pu accéder au contenu des notifications de l’application Signal via iOS, alors même que l’application avait été supprimée », explique dans un message sur Mastodon l’équipe de Signal.

Elle ajoute que les utilisateurs des appareils d’Apple n’ont rien d’autre à faire que de mettre à jour le système d’exploitation : « Une fois le correctif installé, toutes les notifications conservées par inadvertance seront supprimées et aucune notification future ne sera conservée pour les applications supprimées ». La fondation en profite pour saluer la rapidité du correctif.

Notons aussi que Signal n’est pas la seule application qui pouvait être victime de cette faille. Si ses notifications comme celles des autres applications de messagerie chiffrée sont particulièrement sensibles, le bug affectait potentiellement les notifications de toutes les applications.

Pings indiscrets

Les récentes mises à jour de iOS et iPadOS bloquent la méthode d’extraction de données que le FBI a utilisée pour récupérer des messages Signal dans les notifications d’un iPhone.

Apple vient de mettre à jour en urgence, ce mercredi 22 avril, ses systèmes d’exploitation iPhone et iPad pour résoudre un problème de sécurité qui permettait de récupérer des informations comme des messages Signal.

L’entreprise explique succinctement que la vulnérabilité, identifiée par l’entreprise sous la référence CVE-2026-28950, consistait dans le fait que « les notifications marquées pour suppression [pouvaient] être conservées de manière inattendue sur l’appareil ». La description de la résolution indique sans plus de précisions qu’Apple a utilisé une meilleure méthode pour qu’elles ne soient plus accessibles.

La faille concerne aussi bien iOS 26 et iPadOS 26 que iOS 18 et iPadOS 18. Leurs utilisateurs sont donc invités à effectuer la mise à jour vers les dernières versions afin d’éviter d’être affectés par cette faille de sécurité.

Une faille exploitée par le FBI pour retrouver des messages sur Signal

L’entreprise ne détaille pas dans quelles circonstances elle s’est rendu compte du problème ni si la faille a été exploitée. Mais il y a 15 jours, 404 Media nous apprenait justement que le FBI avait utilisé la base de données de notification de l’iPhone d’un suspect pour récupérer des messages Signal, alors que celui-ci avait supprimé les messages et désinstallé l’application au préalable.

Le service de renseignement intérieur des États-Unis enquêtait sur les tirs de feux d’artifice devant un centre de détention de l’ICE en juillet 2025. Le procès de neuf activistes se tenait en mars dernier. Alors que leurs avocats ont affirmé qu’ils étaient venus avec les feux d’artifice pour les tirer en signe de solidarité avec les détenus, l’accusation de tentative de meurtre sur la personne d’agents et d’employés des États-Unis a été retenue contre l’un d’entre eux et les autres ont été reconnus coupables d’émeutes, d’aide matérielle à des terroristes, de complot en vue d’utiliser et de transporter des explosifs et d’utilisation et de transport d’explosifs.

À l’occasion du procès, un proche de ces activistes a expliqué à 404 Media : « Nous avons appris que, sur les iPhone en particulier, si les paramètres de l’application Signal autorisent l’affichage des notifications et des aperçus de messages sur l’écran de verrouillage, l’iPhone stocke alors ces notifications et aperçus de messages dans la mémoire interne de l’appareil ».

Le site dédié à leur défense, créé par leurs proches, détaille une des pièces à conviction présentée au procès : « Les messages ont été récupérés sur le téléphone de Sharp [le surnom d’un des accusés] grâce à la mémoire interne d’Apple dédiée aux notifications : l’application Signal avait été supprimée, mais les notifications reçues avaient été conservées dans la mémoire interne. Seuls les messages reçus ont été récupérés (pas ceux envoyés) ».

Pas d’autres actions à faire que de mettre à jour

Par défaut, les notifications envoyées par Signal affichent des métadonnées comme la date et l’heure de réception, le nom de l’utilisateur, mais aussi une partie du corps de certains messages. Il est cependant possible de cacher ces informations au service de notification via le menu de configuration de Signal :

« Nous sommes très heureux qu’Apple ait publié aujourd’hui un correctif et un avis de sécurité. Cette annonce fait suite à un article de 404 Media révélant que le FBI avait pu accéder au contenu des notifications de l’application Signal via iOS, alors même que l’application avait été supprimée », explique dans un message sur Mastodon l’équipe de Signal.

Elle ajoute que les utilisateurs des appareils d’Apple n’ont rien d’autre à faire que de mettre à jour le système d’exploitation : « Une fois le correctif installé, toutes les notifications conservées par inadvertance seront supprimées et aucune notification future ne sera conservée pour les applications supprimées ». La fondation en profite pour saluer la rapidité du correctif.

Notons aussi que Signal n’est pas la seule application qui pouvait être victime de cette faille. Si ses notifications comme celles des autres applications de messagerie chiffrée sont particulièrement sensibles, le bug affectait potentiellement les notifications de toutes les applications.