Le ver Shai-Hulud frappe keyv et des paquets de cache npm : vérifiez et changez vos clés

En août 2026, une nouvelle vague du ver Shai-Hulud a frappé npm, le registre où les projets JavaScript puisent leurs briques logicielles. Des attaquants ont utilisé le compte GitHub compromis du mainteneur de keyv, une bibliothèque de stockage très utilisée, pour publier des versions malveillantes. L'agence de cybersécurité de Singapour (CSA) a indiqué le 6 août 2026 que plus de 1 300 versions de paquets étaient compromises, totalisant 2 milliards de téléchargements par mois, dont des bibliothèques de cache populaires.

Le logiciel malveillant vole les identifiants des développeurs et s'en sert pour infecter d'autres paquets, d'où son comportement de ver. Il s'agit de la même famille de logiciels malveillants que celle signalée par l'agence américaine CISA en septembre 2025.

Qui est concerné

Tout projet qui a installé une version touchée, directement ou comme dépendance d'un autre paquet, ainsi que les ordinateurs et serveurs de build (CI/CD) où l'installation a eu lieu. Parmi les exemples cités par la CSA : keyv 6.0.0, flat-cache 6.1.24, file-entry-cache 11.1.6, cacheable 2.5.1 et cache-manager 7.2.10. Beaucoup de projets construits avec Node.js, Next.js ou React dépendent indirectement de tels paquets, souvent par leurs outils de développement. Le site en ligne n'est pas forcément infecté, mais les clés servant à le construire et à le déployer peuvent avoir été volées.

Comment vérifier votre site

Demandez à votre développeur de comparer le fichier de verrouillage du projet (package-lock.json, yarn.lock ou pnpm-lock.yaml) et les journaux de build du début d'août 2026 avec la liste publiée des versions touchées. Vérifiez aussi si votre compte GitHub contient des dépôts que vous n'avez pas créés, dont la description contient « Shai-Hulud: Here We Go Again ».

Quoi faire maintenant

• Retirez les versions touchées des environnements de développement, de build et de CI/CD, et remplacez-les par des versions absentes de la liste.
• Considérez toute machine qui les a installées comme potentiellement compromise et réinstallez-la.
• Changez les identifiants exposés : clés d'hébergement et d'infonuagique, jetons GitHub et npm, clés SSH, mots de passe de base de données, clés d'API de paiement et de courriel.
• Vérifiez dans vos comptes d'hébergement, d'infonuagique et de code s'il y a eu des accès que vous ne reconnaissez pas depuis l'installation.
• Pour l'avenir, parlez avec votre développeur du verrouillage des versions et de la désactivation des scripts d'installation dans les builds automatisés lorsque c'est possible.
• Les projets qui n'ont rien installé ni mis à jour pendant cette période ne sont très probablement pas touchés, mais la vérification est rapide.

Cette alerte rapporte ce que les sources ont publié et ne constitue pas une garantie pour un site en particulier.