Les attaques npm de septembre 2025 : quand les briques des sites web sont empoisonnées

En septembre 2025, des bibliothèques JavaScript utilisées par des millions de sites ont été publiées avec du code malveillant, puis un ver baptisé Shai-Hulud s’est propagé à des centaines de paquets. Ce que cela change pour votre site.

Les sites web modernes sont construits avec des milliers de petites briques open source, appelées paquets, téléchargées depuis le registre npm. En septembre 2025, deux attaques ont montré à quel point cette chaîne peut être fragile.

Première attaque : un mainteneur hameçonné

• Vers le 8 septembre, un mainteneur reconnu a reçu un e-mail qui semblait venir du support npm, envoyé depuis le faux domaine npmjs.help.
• Une fausse page a récupéré ses identifiants, y compris son code de double authentification.
• Les attaquants ont publié des versions malveillantes de 18 paquets très populaires, dont chalk et debug.
• Le code injecté visait à remplacer des adresses de portefeuilles de cryptomonnaie dans le navigateur, pour détourner des paiements.

Deuxième attaque : le ver Shai-Hulud

À partir du 15 septembre, un logiciel malveillant capable de se propager seul, surnommé Shai-Hulud, a volé les jetons npm et les identifiants cloud de développeurs, puis s’en est servi pour publier des versions infectées d’autres paquets qu’ils maintenaient. GitHub a retiré plus de 500 paquets compromis.

Ce que cela change pour votre site

• Verrouiller les versions des dépendances avec un fichier de verrouillage, pour qu’aucune mise à jour ne s’installe à votre insu.
• Ne pas se précipiter sur une nouvelle version le jour de sa sortie : laisser à la communauté le temps de repérer un problème.
• Utiliser une authentification résistante à l’hameçonnage, comme les passkeys ou les clés de sécurité, sur les comptes développeurs.
• Garder les secrets hors des postes de développement et les renouveler après tout incident.

Une responsabilité partagée

Aucune équipe ne peut réécrire tous les paquets qu’elle utilise. Mais elle peut choisir ses dépendances avec soin, en limiter le nombre et suivre les alertes de sécurité. Cette discipline fait partie de la construction d’un site sérieux.

Un site n’est jamais plus sûr que le code qu’il emprunte.

Sources : BleepingComputer, AWS Security Blog, Pulsedive, septembre 2025.

Vous voulez un site construit avec des dépendances suivies et vérifiées ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.