Un simple git push suffisait : tout comprendre sur la faille critique qui a exposé des millions de dépôts sur GitHub

Une avancée frappante se dessine dans l’intelligence artificielle. Publié le 29 avril 2026 à 12h36 Cyberguerre Sécurité informatique B2B Entreprise Un simple git push suffisait : tout comprendre sur la faille critique qui a exposé des millions de dépôts sur GitHub One push is all it takes 3 min Amine Baba Aissa Amine Baba Aissa 3 min 3 min Amine Baba Aissa Amine Baba Aissa Ne plus voir cette pub Lecture Zen Résumer l'article Résumé de l'article Résumé par IA, vérifié par Numerama ? Nous générons pour vous un résumé de l’article grâce à une IA et nous le vérifions afin de nous assurer qu’il n’y ait aucune erreur, pour garantir l’authenticité de l’info. En savoir plus Wiz a identifié une vulnérabilité critique dans l'infrastructure interne de GitHub, référencée CVE-2026-3854.

La faille exploitait les push options pour injecter des points‑virgules dans le header interne X-Stat. GitHub a déployé un correctif sur GitHub. com six heures après le signalement et publié des patches pour GHES (version 3.

Détails techniques

3+), mais Wiz estime que 88 % des instances GHES étaient encore vulnérables lors de la divulgation. Wiz a identifié une vulnérabilité critique dans l'infrastructure interne de GitHub, référencée CVE-2026-3854. La faille exploitait les push options pour injecter des points‑virgules dans le header interne X-Stat.

GitHub a déployé un correctif sur GitHub. com six heures après le signalement et publié des patches pour GHES (version 3. 3+), mais Wiz estime que 88 % des instances GHES étaient encore vulnérables lors de la divulgation.

Recevez tous les soirs un résumé de l’actu importante avec Le Récap’ Des chercheurs en s curit de Wiz ont d couvert une vuln rabilit critique dans l'infrastructure interne de GitHub, permettant n'importe quel utilisateur authentifi d'ex cuter du code arbitraire sur les serveurs de la plateforme, le tout avec une seule commande git. C'est, peu pr s, tout ce qu'il fallait. Pas d'exploit sophistiqu , pas de vuln rabilit zero-day dans une librairie obscure.

Répercussions sectorielles

Juste une commande que des millions de d veloppeurs tapent des dizaines de fois par jour, et qui, jusqu'au 4 mars 2026, pouvait suffire prendre le contr le de serveurs internes de GitHub. Et potentiellement acc der aux d p ts priv s de n'importe quelle organisation h berg e sur la plateforme. La faille, r f renc e CVE-2026-3854 , a t d couverte par l' quipe Wiz Research et rendue publique le 28 avril .

Elle touche deux cibles distinctes : GitHub. com, la plateforme cloud utilis e par des centaines de millions de d veloppeurs dans le monde, et GitHub Enterprise Server (GHES), la version auto-h berg e utilis e par les grandes entreprises et administrations. Faux SMS, mails frauduleux...

Ne tombez plus dans le pi ge ! Gardez toujours une longueur d'avance sur les fraudeurs. Bitdefender Scam Protection analyse, d tecte et neutralise instantan ment les escroqueries qui visent votre argent.

Cette avancée envoie des signaux importants sur l’avenir du secteur, et le monde de la tech observe attentivement.