État de GitHub : problèmes d’accès et signalements de panne

Problèmes au cours des dernières 24 heures

Le graphique suivant montre le nombre de rapports que nous avons reçus sur GitHub par heure de la journée au cours des dernières 24 heures. Une panne est déterminée lorsque le nombre de rapports est supérieur à la ligne de base, représentée par la ligne rouge.

Problèmes les plus rapportés

Voici les problèmes les plus récents signalés par les utilisateurs de GitHub via notre site Web.

• Panne de site web (69%)
• Sign in (19%)
• Erreurs (13%)

Carte en direct des pannes

Les derniers rapports et problèmes d'interruption proviennent

City	Problem Type	Report Time
Créteil	Panne de site web	il y a 6 jours
Trichūr	Erreurs	il y a 10 jours
Brasília	Sign in	il y a 10 jours
Lyon	Panne de site web	il y a 10 jours
Tel Aviv	Panne de site web	il y a 14 jours
Rive-de-Gier	Panne de site web	il y a 14 jours

Carte de panne complète

Discussion communautaire

Conseils? Frustrations? Partagez-le ici. Les commentaires utiles comprennent une description du problème, la ville et le code postal.

Méfiez-vous des "numéros d'assistance" ou des comptes de "récupération" qui pourraient être affichés ci-dessous. Assurez-vous de signaler et de voter contre ces commentaires. Évitez de publier vos informations personnelles.

GitHub Rapports de Problèmes

Dernières pannes, problèmes et rapports de problèmes dans les médias sociaux:

• 
  Olivier Heckendorn (@o_heckendorn) a signalé il y a 5 minutes

  @Zoeillle Ça m’intéresse. J’ai pas mal de soucie avec Indy. Et si c’est OSS je vais jeter un coup d’œil et sûrement essayer de compléter avec mes besoins. Est ce que je peux être prévenu quand c’est sur GitHub ?

• 
  !BlackCagou!🇳🇨 (@BlackCagou) a signalé il y a 7 minutes

  @DFintelligence @SNCFVoyageurs Filtre DNS de sécu : GitHub = pas que des sites web, aussi binaires, scripts, repos qui peuvent être weaponisés par un compte compromis. Garde-fou anti-supply chain attack / malware via git. Dans un service public, la sécurité prime souvent sur la DX des devs.

• 
  Grok (@grok) a signalé il y a 8 minutes

  @ParepouMang @ianmiles C’était la projection officielle d’xAI en février : « Grok-3 open-source ce mois-ci ». Les timelines tech glissent souvent (comme pour beaucoup de projets IA). Au 5 mars 2026, seuls Grok-1 et 2.5 sont sur GitHub ; Grok-3 pas encore. Pas de fausse info, juste un retard constaté en temps réel. Tu veux les liens des repos ?

• 
  Antoine THOMAS (@ttoine) a signalé il y a 13 minutes

  @0xhauru @Tundjii @gchampeau c'est ce que je dis. vu qu'ils ont massivement participé à l'origine du problème et que leurs devs sont les premiers impactés ils auraient du le voir venir et l'anticiper. cependant, ça veut dire à ce rythme que GitHub ne pourra pas rester gratuit très longtemps.

• 
  Webologie (@Webologie_me) a signalé il y a 14 minutes

  @terasaka47 C’est un bug actif sur GitHub visiblement , signalé il y a deux semaines, indépendant du protocole, ça touche WireGuard et AmneziaWG sur Windows 11. Pas encore corrigé officiellement.

• 
  Maxime() (@M4x1M3_) a signalé il y a 16 minutes

  @siliconcarnesf Le timing est parfait ! Cette année, les prix de l’IA vont probablement exploser, avec un basculement progressif vers une facturation au token, comme on commence déjà à le voir avec le changement tarifaire de GitHub prévu au 1er juin. C’est assez prévisible, la charge serveur est énorme, la valeur apportée est considérable, et plus personne ne peut vraiment s’en passer. Mon avis : Apple va faire tourner en local une grande partie des besoins IA (hors grosses configurations complexes), pour un coût dérisoire limité aux quelques watts consommés par la machine. Je me demande même si certains modèles ne finiront pas par être proposés sous forme de licences plutôt que via une facturation à l’usage. Autre avantage pour Apple, avec le temps, les machines actuelles ne pourront plus faire tourner les derniers modèles localement. Cela créera donc naturellement une nouvelle raison de renouveler son matériel. Apple restera irremplaçable, ton modèle d’IA, si.

• 
  Team Sellings (@TeamSellings) a signalé il y a 17 minutes

  @CardilloSamuel Impossible de le clone ... github met un 403 ... c'est la guerre du code !

• 
  Antho 🇫🇷 🏴󠁧󠁢󠁥󠁮󠁧󠁿 🌹 (@polaritonio) a signalé il y a 18 minutes

  @nb4ld Ou alors "il" (en Anglais j'utiliserais "it") ment. Un étudiant donne un rapport comme ça, il lui manque beaucoup de points pour la méthode et les marges d'erreur. Un collaborateur sur Github je lui demande le script. Fait-il 10x100000? 100x10000 ?

• 
  ☠ Bluetouff (@bluetouff) a signalé il y a 20 minutes

  US Risk Macro Dashboard (lien github sous ce post) Ce dashboard offre une lecture du cycle macro américain, validée empiriquement, sans abonnement, accessible à tous. Pour quelqu'un qui gère son propre patrimoine et qui veut prendre des décisions d'allocation éclairées (actions vs obligations vs cash, secteurs cycliques vs défensifs), ce type d'outil peut être utile. L'objet est de proposer un indicateur composite qui ne soit pas du bullshit. Trop d'indicateurs macro publiés (par des banques, des newsletters, des comptes Twitter) sont des boîtes noires non documentées, non backtestées, et calibrées sur des intuitions. Ici, chaque choix est explicite, chaque exclusion est justifiée, chaque pondération est validée. Le code est ouvert, modifiable, auditable. Si quelqu'un n'est pas d'accord avec un choix, il peut le changer et voir l'effet immédiatement. Les limites : - Périmètre limité aux États-Unis. Les indicateurs européens, japonais, chinois, ne sont pas couverts. Une extension est possible mais demanderait de refaire le travail méthodologique pour chaque pays. - Pas d'analyse des marchés financiers eux-mêmes. Les valorisations actions, les flux de capitaux, le positionnement des hedge funds ne sont pas dans le dashboard. Le projet surveille l'économie réelle et son interface avec la finance, pas les marchés en tant que tels. - Données trimestrielles pour certaines séries clés. SLOOS et les delinquencies sont publiés tous les trois mois, ce qui crée une latence inévitable. Le dashboard est optimisé pour un usage hebdomadaire, pas quotidien. Ce que fait l'app : Elle surveille en continu 43 séries macroéconomiques américaines réparties en 8 familles de risque : - Crédit ménages (delinquencies cartes, prêts conso, hypothèques, taux d'épargne) - Stress bancaire (bilan Fed, réserves, dépôts, discount window) - Liquidité et plomberie financière (SOFR, courbe des taux, stress indices Fed) - Stress corporate (spreads High Yield et Investment Grade, défauts business) - Immobilier résidentiel et commercial (CRE delinquencies, taux 30Y, permis de construire) - Marché du travail (claims initiaux et continus, quits rate, JOLTS, temp help) - Consommation réelle (PCE, revenus disponibles, sentiment Michigan, retail sales) - SLOOS (Senior Loan Officer Survey de la Fed / durcissement des standards de prêt) Pour chaque indicateur, l'outil calcule un score de stress normalisé, agrège ces scores par famille puis en un score composite global, et présente le tout dans un tableau de bord visuel. À chaque exécution hebdomadaire, l'historique est enrichi : sur quelques mois, l'utilisateur construit sa propre série temporelle du stress macro tel que mesuré par ses propres indicateurs. La méthodologie : on affiche des écarts, pas des chiffres La valeur brute d'un indicateur (ex : "delinquency rate à 2.92%") n'a aucun sens pour un non-spécialiste. Ce qui compte, c'est où ce chiffre se situe par rapport à sa normalité historique. Tout le dashboard est construit autour de cette idée : chaque indicateur est présenté avec une valeur actuelle, une référence de normalité, et un score d'anomalie. Pour chaque indicateur, le système calcule trois métriques de stress en parallèle : 1. Le z-score sur 5 ans glissants. C'est la mesure statistique classique : combien d'écarts-types l'indicateur actuel se trouve-t-il de sa moyenne récente ? Cette mesure capture les anomalies de court/moyen terme. 2. La dérive par rapport à la moyenne pré-COVID (2015-2019). Cette mesure complète le z-score qui souffre d'un défaut connu : si un indicateur dérive lentement vers un nouveau niveau, le z-score glissant s'adapte et finit par considérer ce nouveau niveau comme "normal" alors qu'il représente un changement structurel. L'écart à une baseline fixe pré-COVID corrige ce biais. Concrètement : si les défauts sur l'immobilier commercial sont passés progressivement de 0.86% à 1.56% en six ans, le z-score 5Y l'identifie mal mais l'écart à la baseline (+81%) crie l'alerte. 3. Le momentum (variations 3M annualisées et 1Y). Cette mesure capture la vitesse de changement. Un indicateur peut être à un niveau modeste mais se dégrader rapidement, ce qui est souvent plus inquiétant qu'un niveau élevé stable. Le score final d'un indicateur est le maximum de ces trois dimensions, ce qui garantit qu'aucune source de stress n'est manquée. Si une seule des trois alertes, l'indicateur est en alerte. Les règles d'exclusion : - Pour les taux d'intérêt et les bilans Fed, l'écart à la baseline pré-COVID n'a aucun sens. Comparer le rendement du 10 ans actuel à sa moyenne 2015-2019 (taux zéro artificiellement) reviendrait à dire "alerte stress!" alors que c'est juste un retour à la normale historique. Ces séries sont marquées comme "régime change" et évaluées uniquement sur le z-score. - Pour les volumes nominaux (encours de crédit, masse monétaire, bilan bancaire), le drift est également trompeur car ces séries croissent naturellement avec l'inflation et la population. Elles sont aussi en mode régime change. - Pour les variables centrées autour de zéro (yield curves, stress indices, SLOOS), la formule du drift en pourcentage explose mécaniquement quand la baseline est proche de zéro. Ces séries sont aussi exclues du drift. - Pour le momentum, les séries qui peuvent traverser zéro (yield curve qui passe d'inversée à normale, stress indices qui passent de négatif à positif) ne supportent pas un calcul de variation en pourcentage. Elles sont exclues du momentum. Ces règles d'exclusion ne sont pas du bricolage : chacune est issue de la confrontation entre la méthode et la réalité empirique. Le projet a été calibré itérativement, en identifiant systématiquement les faux signaux et en formalisant les règles qui les expliquent. Scoring composite et pondération empirique - Tous les indicateurs ne se valent pas. La courbe des taux 10Y-3M est historiquement le meilleur prédicteur de récession américaine sur soixante ans (zéro faux positif depuis 1960). Les delinquencies sur cartes de crédit sont des indicateurs coïncidents : ils montent pendant les récessions, pas avant. Donner le même poids à ces deux types de signaux dans un score composite est méthodologiquement absurde. Le dashboard implémente une pondération empirique calibrée par backtest historique. Pour chaque indicateur, on calcule sa valeur statistique trois mois, six mois et douze mois avant chacune des quatre récessions NBER depuis 1990 (1990-91, 2001, 2008-09, 2020). La moyenne de ces valeurs donne le "pouvoir prédictif" historique de chaque série. Les indicateurs qui ont systématiquement signalé les récessions à l'avance reçoivent un poids plus élevé (Tier 1, coefficient 3x ou 2.5x) ; ceux qui n'ont rien anticipé reçoivent un poids faible (Tier 3, coefficient 1x ou 0.5x). Cette calibration empirique remplace la pondération basée sur la littérature académique, qui est utilisée comme première approximation puis affinée par les données. Les deux approches sont comparées dans le code, ce qui révèle parfois des écarts intéressants : par exemple, le marché du travail "leading" (TEMPHELPS, JOLTS) est sous-évalué par la littérature classique alors que le backtest empirique le promeut en Tier 1. On ne se contente pas de calculer le score actuel. On reconstruit l'historique mensuel du score composite depuis 1990, en utilisant à chaque date passée uniquement les données qui étaient disponibles à cette date (sans look-ahead bias). Le résultat est une série temporelle de plus de 400 points qui montre comment le score composite a évolué à travers les récessions, les bulles, et les épisodes de stress (SVB, 2019 manufacturing slowdown, etc.). Cette reconstruction permet trois choses essentielles : 1. Valider la méthode : le score est-il monté avant 2008 ? Avant 2020 ? Si oui, à quel niveau ? L'historique reconstruit montre que le score atteint +1.27 trois mois avant Lehman (percentile 98%) et culmine à +1.5 pendant le COVID. La méthode capture bien les vraies récessions. 2. Calibrer les seuils empiriquement : au lieu de fixer arbitrairement les seuils d'alerte à 1.5σ et 2.5σ, on peut désormais dire que sur 35 ans, le score n'a dépassé +1.0 que pendant les vraies crises. C'est devenu une référence empirique. 3. Contextualiser le présent : aujourd'hui le score est à -0.01, percentile 48%. Cela ne veut pas dire "tout va bien" cela veut dire "on est à la médiane historique, ni plus stressé ni plus calme que la moyenne depuis 1990". C'est très différent du narratif "récession imminente" comme du narratif "tout est sous contrôle". C'est une lecture honnête. Source des data : Le projet utilise l'API FRED (Federal Reserve Bank of St. Louis) comme source de données unique. Ce choix se justifie par plusieurs raisons : FRED est gratuit, exhaustif pour la macro américaine, mis à jour quotidiennement, et propose une API stable depuis quinze ans. Une seule clé API gratuite (30 secondes à obtenir) ouvre l'accès à plus de 800 000 séries. Centraliser les sources évite aussi les problèmes d'incohérence temporelle entre fournisseurs. Fork me i'm free.

• 
  Christophe Mazzola (@ChristopheMzzl) a signalé il y a 22 minutes

  L'agence qui passe ses journées à expliquer aux autres comment se sécuriser vient de faire ce qui se fait pire en hygiène cyber. La CISA, l'équivalent américain de l'ANSSI a vu l'un de ses contractants posté un repo GitHub public nommé "Private-CISA" (oui oui, public et nommé "Private", on est dans la cour des grands), avec 844 Mo de données dedans. Au menu: - Identifiants administratifs AWS GovCloud, l'environnement cloud réservé aux charges sensibles du gouvernement américain. - Mots de passe en clair dans un fichier CSV, dont les identifiants Firefox de dizaines de systèmes internes. - Tokens d'authentification, certificats SAML Entra ID, clés SSH, manifests Kubernetes, logs CI/CD. - Et le bouquet final, l'accès à l'Artifactory interne, le dépôt de tous les paquets logiciels que CISA utilise pour construire ses outils. En terme de folklore, mes mots de passe internes utilisés étaient du niveau "nom_de_la_plateforme + année en cours". Le genre que tu déconseilles à ta grand-mère. Comment c'est arrivé? Le contractant a désactivé manuellement la fonctionnalité de GitHub qui bloque par défaut la publication de secrets dans un repo public. Donc ce n'est pas un oubli. C'est une action volontaire pour contourner la sécurité. Le repo a été créé en novembre 2025. Découvert par @GitGuardian le 14 mai 2026. Six mois d'exposition publique. Et le pire. Quand CISA a fini par retirer le repo, ils ont mis 48 heures supplémentaires à révoquer les accès AWS. Donc même après la découverte, les clés restaient valides. Un attaquant qui aurait copié les secrets avant le takedown pouvait continuer à accéder aux systèmes pendant deux jours de plus. Sept couches de contrôle de sécurité auraient dû détecter ou prévenir cet incident. Les sept ont échoué. Et là, vous allez me dire, mais c'est CISA, c'est sérieux, ils vont être sanctionnés. CISA a publié une déclaration disant qu'il n'y a "aucune indication que des données sensibles aient été compromises". Comment on prouve qu'il n'y a pas eu de compromission sur 183 jours d'exposition publique, avec 70% des effectifs disponibles pour faire l'enquête forensique ? On ne prouve pas. On dit juste qu'on n'a rien vu. La leçon. Aucune organisation n'est à l'abri. Pas même celle dont le métier est de prévenir exactement ce genre d'incident. Et toi qui me lis et qui pense que tes audits ISO 27001 te mettent à l'abri. CISA est l'agence fédérale américaine de la cybersécurité. Ça n'empêche pas qu'un contractant qui veut utiliser GitHub comme backup personnel passe à travers les filets pendant six mois. La sécurité n'est jamais dans la conformité documentaire. Elle est dans la culture opérationnelle. Et la culture, c'est ce qui se passe quand personne ne regarde.

• 
  Altcoins France 🇫🇷 (@AltcoinsFrance) a signalé il y a 25 minutes

  🚨 UN MALWARE UTILISE LA BLOCKCHAIN SOLANA POUR SE CACHER DANS DES PROJETS OPEN SOURCE Des chercheurs en cybersécurité ont découvert qu’au moins 151 repositories sur GitHub ont été compromis par un groupe de cybercriminels appelé Glassworm. 👉 Comment fonctionne l’attaque : • Les pirates cachent du code malveillant dans des caractères invisibles dans le code, impossibles à voir à l’œil nu. • Pour un développeur, le fichier semble normal, mais un script peut ensuite être exécuté en secret. • Le malware peut alors voler des identifiants, des tokens ou d’autres données sensibles. 👉 Particularité : Dans certaines attaques précédentes du groupe Glassworm, les instructions du malware étaient stockées sur la blockchain Solana, utilisée comme infrastructure difficile à bloquer. Les chercheurs recommandent aux développeurs de vérifier les dépendances et scanner les caractères invisibles, car ces attaques peuvent passer inaperçues lors d’une simple lecture du code.

• 
  Rafboul (@Rafboul) a signalé il y a 25 minutes

  Jour 2 à build des automatisations n8n J'ai build un AI Inbox Manager complet (lien github en second tweet) Gmail → IA locale (Ollama) → classifie, résume, détecte les urgences • Brouillon de réponse auto si action requise • Notif Telegram si urgent • Extraction des factures dans Google Sheets Ce qui ma cassé le crane se sont les hallucination du LLM sur le format JSON (problème d'avoir des petits LLM car en local) J'ai du remplacer le parser de n8n par un Code Node maison qui extrait le JSON par regex et corrige les erreurs du modèle CTA: follow

• 
  Le Fil IA (@Le_Fil_IA) a signalé il y a 26 minutes

  @ChanPerco C'est exactement ce qui est arrivé avec GitHub Copilot. À partir du 24 avril, Microsoft utilise par défaut le code des développeurs pour entraîner ses modèles. L'opt-out existe, mais il est enterré dans les paramètres. Le problème de fond n'est pas technique, il est économique. L'open source repose sur un contrat social implicite : je donne mon code, la communauté en bénéficie. Quand une IA aspire ce code pour générer un concurrent commercial en 10 minutes, le contrat est rompu. La France travaille justement sur l'inversion de la charge de preuve : ce serait au fournisseur d'IA de prouver qu'il a les droits. Si ça s'applique aussi au code open source, ça changerait tout. Mais soyons honnêtes : Apache 2.0 et MIT autorisent explicitement l'usage commercial. Le vrai débat n'est pas juridique, il est sur la soutenabilité du modèle open source quand l'IA permet de capturer la valeur sans contribuer en retour.

• 
  Hugo (@hug0perier) a signalé il y a 27 minutes

  @Zoeillle Perso j’aurais trop trop peur de connecter mes comptes bancaires à une app vibe codé Est ce que le repo est accessible sur GitHub?

• 
  Orion (@orion_offi) a signalé il y a 29 minutes

  @shedclip71748 Et non ils vont pas pourrir sur GitHub vu que j'ai mon propre serveur Git 🤓

• 
  Kael 🦇🔊 (@KaelCc) a signalé il y a 33 minutes

  ChatGPT, GitHub Copilot peuvent vous aider et assister mais toujours pas vous remplacer n'écoutez pas les marketeux aux threads foireux su Twitter et LinkedIn, ils n'y connaissent simplement rien du tout.

• 
  Ayoub (@ayoub_laar) a signalé il y a 34 minutes

  @CritMedia1 Ah ok perso même si le repo est public, il arrive pas à fetch, toujours en erreur. Je pense que Github détecte l'user-agent de Claude et qu'il le tej

• 
  G.L.A.D.I.S. 🌊🥦🕊️ (@msba1i) a signalé il y a 35 minutes

  @zen_HoKo Je paye toujours quand j'apprécie un service. Je fais pareil pour Netflix, Youtube, Github et Grindr

• 
  LeBonPrompt (@LeBonPrompt) a signalé il y a 36 minutes

  @brestho Pour le 2, des bots scannent chaque commit public GitHub en temps réel. Une clé poussée par erreur est exploitée en minutes, pas en mois.

• 
  Guénolé (@guenolekikabou) a signalé il y a 37 minutes

  Github bug, donc Github Copilot aussi. Je vais en profiter pour essayer cursor

• 
  Baptiste Angot 🌐 / LumberShad (@xbexf1264) a signalé il y a 41 minutes

  Y a des gens qui ont utilisé le tool github copilot modernization ici ? J’ai essayé pour le moment et assez déçu, mais je sais pas si c’est juste car je l’utilise mal ou complexité d’architecture de certains projets

• 
  🏴‍☠️ MC Pablo (@p4bl0) a signalé il y a 41 minutes

  @LughSpear @MonniauxD Le recours à une blockchain n'a rien à voir avec ça. Si le possesseur de la clef en question c'est Github, ça pose le même soucis.

• 
  Sam (@Sam27274510) a signalé il y a 46 minutes

  @_Flavien @KuptoKosmos As tu été voir le projet github en question ? J'ai l'impression que tu ne sais pas de quoi tu parles, demande a chatgpt de t'aider, ce que tu ecrit n'a aucun sens.

• 
  atgz (@tgzali) a signalé il y a 47 minutes

  @sibyog13 J'ai fais quelque chose de similaire dans une db vectorielle relié à un mcp. Maintenant j'utilise ce mcp dans tous mes projets pour que l'agent propose et utilisr les outils/articles les plus pertinents. Je l'ai mis en public sur mon github

• 
  Laurent Cheylus (@lcheylus) a signalé il y a 51 minutes

  @_r3m8 @pbeyssac Pour le coup, c'est même pas le profil du bonhomme qui pose problème. C'est surtout que sa liste sur GitHub à propos de la vérif d'âge, est truffée d'approximations et de contre-vérités. Résumer une position évolutive sur le sujet (par ex. Debian), par oui/non, c'est simpliste.

• 
  bastos (@jus2bagarre69) a signalé il y a 51 minutes

  Après se perdre sur Twitter & YouTube maintenant c’est se perdre sur reddit & github vraiment je commence a trop être un daron

• 
  Brivael - FR (@BrivaelFr) a signalé il y a 53 minutes

  Votre iPhone peut se faire vider en silence pendant que vous lisez ce tweet. Le code source de DarkSword, un exploit kit iOS complet, vient de fuiter sur GitHub. 6 failles chainées, 3 zero-day, contrôle kernel total de votre iPhone. Et maintenant n'importe qui peut s'en servir. Voilà comment un simple site web peut leaker l'intégralité de la data de votre téléphone, étape par étape. Le point d'entrée : vous visitez un site web Pas de clic, pas de téléchargement, pas de popup. Un iframe invisible sur un site compromis charge du JavaScript qui fingerprint votre device. Si votre iOS est entre 18.4 et 18.7, la chaîne d'exploitation se déclenche automatiquement. Étape 1 : exécution de code dans Safari DarkSword exploite une faille de corruption mémoire dans JavaScriptCore, le moteur JS de Safari. Selon votre version d'iOS, c'est soit une confusion de types dans le compilateur JIT (CVE-2025-31277), soit un bug dans le garbage collector (CVE-2025-43529). Les deux permettent d'obtenir un read/write arbitraire en mémoire dans le process qui rend les pages web. Étape 2 : contourner les protections mémoire iOS signe cryptographiquement les pointeurs mémoire (PAC) pour empêcher leur détournement. CVE-2026-20700 est un bug dans dyld, le dynamic linker d'Apple, qui permet de bypasser cette protection. Sans ça, avoir du read/write ne suffit pas parce qu'on ne peut pas rediriger l'exécution de code. Étape 3 : s'échapper de la sandbox Safari Le process qui rend les pages web (WebContent) tourne dans une sandbox ultra restrictive. Même avec du code execution, on ne peut rien faire d'utile. DarkSword exploite un out-of-bounds write dans ANGLE, la lib de traduction de shaders GPU (CVE-2025-14174). Via WebGPU, il injecte du code dans le GPU process de Safari, qui a plus de privilèges. Étape 4 : pivoter vers un daemon système Le GPU process reste sandboxé. Donc DarkSword exploite un bug de copy-on-write dans le kernel XNU (CVE-2025-43510) pour injecter du code dans mediaplaybackd, un daemon système qui gère la lecture média et qui a beaucoup plus de permissions. Le trick : ils chargent une copie complète du runtime JavaScriptCore dans ce daemon. Tout reste en JavaScript pur, aucun binaire n'est déposé sur le device. Étape 5 : prendre le kernel Depuis mediaplaybackd, DarkSword exploite une race condition dans le virtual filesystem de XNU (CVE-2025-43520). Ce bug donne des primitives de lecture/écriture en mémoire physique et virtuelle au niveau kernel. Game over. L'attaquant peut modifier n'importe quelle restriction de sandbox et accéder à tout le filesystem. Ce qui est volé Mots de passe iCloud Keychain, messages iMessage/WhatsApp/Telegram, historique Safari, cookies, photos, contacts, emails, historique de localisation, config WiFi, data Health, et surtout les wallets crypto (Coinbase, Binance, MetaMask, Ledger, Exodus...). Tout est exfiltré en HTTPS chiffré avec ECDH + AES. Et ensuite il disparaît DarkSword n'est pas fait pour la surveillance. C'est du hit-and-run. En quelques minutes il collecte tout, exfiltre, supprime ses fichiers temporaires et les crash logs. L'utilisateur ne voit rien. Aucun binaire sur le device, aucune app installée, aucune trace visible. Ce code est maintenant public sur GitHub, non obfusqué, avec les commentaires des développeurs. C'est du HTML + JS basique, déployable sur un serveur en quelques heures sans aucune expertise iOS. 25% des iPhone tournent encore sur iOS 18 ou avant. Des centaines de millions de devices vulnérables. Mettez à jour vers iOS 26.3.1 ou iOS 18.7.6. Maintenant.

• 
  Ephilem (@ephilem) a signalé il y a 59 minutes

  @AypierreMc J'ai entendu parler de Folia, créer par la même organisation que ceux qui ont créé Paper, qui règle le problème de lag et de slot. Même si elle est encore en beta, c'est une occasion en or d'essayer cette technologie récente Et CoreProtect par exemple marche d'après le github

• 
  CAPET ☀️ (@Capetlevrai) a signalé il y a 60 minutes

  @MaloHautbois En vrai c’est juste à chaque génération les outils pour simplifier les choses augmentent mais ceux qui veulent aller au fond des choses vont juste tout rafler Mon erreur de ces dernières années ça a été de pas aller assez loin sur les tools IA hors GPT comme GitHub copilot windsurf etc avant Claude Mais la je me rattrape

• 
  FrenchBreaches (@Frenchbreaches) a signalé il y a 60 minutes

  🚨 GitHub confirme une compromission interne après l’installation d’une extension VS Code malveillante sur l’appareil d’un employé. Dans un communiqué officiel, GitHub indique que l’incident a permis un accès non autorisé à certains dépôts privés internes de la plateforme. Selon l’enquête en cours, l’attaquant aurait exfiltré environ 3 800 repositories internes, un chiffre que GitHub juge “cohérent” avec ses premières analyses. Les accès compromis concereraient uniquement des dépôts internes GitHub, sans indication actuelle d’impact sur les repositories publics ou les données clients. GitHub précise avoir immédiatement : 👉 supprimé l’extension VS Code malveillante 👉 isolé le poste compromis 👉 lancé une réponse à incident complète 👉 effectué une rotation prioritaire des secrets et identifiants critiques 👉 renforcé la surveillance des activités suspectes La plateforme indique poursuivre l’analyse des logs et promet un rapport plus détaillé une fois l’investigation terminée.