GitHub Carte de Panne

Discussion communautaire

Conseils? Frustrations? Partagez-le ici. Les commentaires utiles comprennent une description du problème, la ville et le code postal.

Méfiez-vous des "numéros d'assistance" ou des comptes de "récupération" qui pourraient être affichés ci-dessous. Assurez-vous de signaler et de voter contre ces commentaires. Évitez de publier vos informations personnelles.

GitHub Rapports de Problèmes

Dernières pannes, problèmes et rapports de problèmes dans les médias sociaux:

• 
  Brivael - FR (@BrivaelFr) a signalé il y a 10 secondes

  Votre iPhone peut se faire vider en silence pendant que vous lisez ce tweet. Le code source de DarkSword, un exploit kit iOS complet, vient de fuiter sur GitHub. 6 failles chainées, 3 zero-day, contrôle kernel total de votre iPhone. Et maintenant n'importe qui peut s'en servir. Voilà comment un simple site web peut leaker l'intégralité de la data de votre téléphone, étape par étape. Le point d'entrée : vous visitez un site web Pas de clic, pas de téléchargement, pas de popup. Un iframe invisible sur un site compromis charge du JavaScript qui fingerprint votre device. Si votre iOS est entre 18.4 et 18.7, la chaîne d'exploitation se déclenche automatiquement. Étape 1 : exécution de code dans Safari DarkSword exploite une faille de corruption mémoire dans JavaScriptCore, le moteur JS de Safari. Selon votre version d'iOS, c'est soit une confusion de types dans le compilateur JIT (CVE-2025-31277), soit un bug dans le garbage collector (CVE-2025-43529). Les deux permettent d'obtenir un read/write arbitraire en mémoire dans le process qui rend les pages web. Étape 2 : contourner les protections mémoire iOS signe cryptographiquement les pointeurs mémoire (PAC) pour empêcher leur détournement. CVE-2026-20700 est un bug dans dyld, le dynamic linker d'Apple, qui permet de bypasser cette protection. Sans ça, avoir du read/write ne suffit pas parce qu'on ne peut pas rediriger l'exécution de code. Étape 3 : s'échapper de la sandbox Safari Le process qui rend les pages web (WebContent) tourne dans une sandbox ultra restrictive. Même avec du code execution, on ne peut rien faire d'utile. DarkSword exploite un out-of-bounds write dans ANGLE, la lib de traduction de shaders GPU (CVE-2025-14174). Via WebGPU, il injecte du code dans le GPU process de Safari, qui a plus de privilèges. Étape 4 : pivoter vers un daemon système Le GPU process reste sandboxé. Donc DarkSword exploite un bug de copy-on-write dans le kernel XNU (CVE-2025-43510) pour injecter du code dans mediaplaybackd, un daemon système qui gère la lecture média et qui a beaucoup plus de permissions. Le trick : ils chargent une copie complète du runtime JavaScriptCore dans ce daemon. Tout reste en JavaScript pur, aucun binaire n'est déposé sur le device. Étape 5 : prendre le kernel Depuis mediaplaybackd, DarkSword exploite une race condition dans le virtual filesystem de XNU (CVE-2025-43520). Ce bug donne des primitives de lecture/écriture en mémoire physique et virtuelle au niveau kernel. Game over. L'attaquant peut modifier n'importe quelle restriction de sandbox et accéder à tout le filesystem. Ce qui est volé Mots de passe iCloud Keychain, messages iMessage/WhatsApp/Telegram, historique Safari, cookies, photos, contacts, emails, historique de localisation, config WiFi, data Health, et surtout les wallets crypto (Coinbase, Binance, MetaMask, Ledger, Exodus...). Tout est exfiltré en HTTPS chiffré avec ECDH + AES. Et ensuite il disparaît DarkSword n'est pas fait pour la surveillance. C'est du hit-and-run. En quelques minutes il collecte tout, exfiltre, supprime ses fichiers temporaires et les crash logs. L'utilisateur ne voit rien. Aucun binaire sur le device, aucune app installée, aucune trace visible. Ce code est maintenant public sur GitHub, non obfusqué, avec les commentaires des développeurs. C'est du HTML + JS basique, déployable sur un serveur en quelques heures sans aucune expertise iOS. 25% des iPhone tournent encore sur iOS 18 ou avant. Des centaines de millions de devices vulnérables. Mettez à jour vers iOS 26.3.1 ou iOS 18.7.6. Maintenant.

• 
  SOU VIENTOI (@Vase2Soissons) a signalé il y a 2 minutes

  > ouvre une issue sur github : "comment fonctionne une base de données ?" > pivot vers l'ia générative "parce que le marché est là" > construit un wrapper chatgpt avec un "twist" non défini > lance un substack : vibe & build - la newsletter des makers qui exécutent 3/n

• 
  Maxime Ozenne (@MaximeOzenne) a signalé il y a 2 minutes

  @kevin_chalet Hello ! J’ai pas mal joué avec la lib et je travaille sur un POC open source pour tenter de bien comprendre tout le fonctionnement. Je trouve mes réponses au fur et à mesure sur StackOverflow et GitHub, mais je sens qu’il y a des zones encore floues dans le fonctionnement global

• 
  Lazagne (@Lazagne1204) a signalé il y a 10 minutes

  @P4mui Le lien github ne fonctionne pas pour ma part

• 
  rootedFET (@rootedFR) a signalé il y a 13 minutes

  @ilyescanor69 si il est junior sans certif ni gros bagage technique (ctf,lab personelle, github rempli) il va surement galérer le marché des juniors est bouché la cyber ne manque pas de personne elle manque de talents compétant. Si il fait de la GRC la c'est different plus simple de trouver

• 
  Antoine THOMAS (@ttoine) a signalé il y a 14 minutes

  @0xhauru @Tundjii @gchampeau c'est ce que je dis. vu qu'ils ont massivement participé à l'origine du problème et que leurs devs sont les premiers impactés ils auraient du le voir venir et l'anticiper. cependant, ça veut dire à ce rythme que GitHub ne pourra pas rester gratuit très longtemps.

• 
  Prof de banlieue (@Banlieuedeprof) a signalé il y a 19 minutes

  La folie de se lancer sur GitHub, 2 h à tourner en rond sur un problème au lieu d'être en terrasse.

• 
  THISMA (@thismacapital) a signalé il y a 20 minutes

  Je le faisais déjà avec des github actions mais ça mangeait pas mal en tokens API, hâte de voir ce qu'on peut faire sur la nouvelle maj

• 
  Médéric | Tech & IA (@Mederic_IA) a signalé il y a 22 minutes

  @SausageMan999 répond sous mon post X : "I have the same issue". Problème confirmé, je suis pas un cas isolé. Leçon offerte au passage : X = mauvais canal pour debugger un outil open source. GitHub Issue > Discord > X. Note-le.

• 
  Mehdi ⚡️ building with AI (@MehdiBuilds) a signalé il y a 23 minutes

  120 notifications GitHub en 12h. Un seul repo : Paperclip. Lancé il y a 7 jours. Pendant que tu lis ce tweet, 5 nouvelles PRs viennent d'être mergées. Des devs en Chine, aux US, en Europe ont construit en parallèle cette nuit : → un connecteur GitHub bidirectionnel → un import/export de "company IA" en 1 clic → un fix d'exécution atomique sur les agents → un adapter LM Studio local → un bug critique résolu en 1 ligne de config Le concept : construire une "zero-human company". 20 000 devs qui s'y mettent en même temps. Le truc qui me fascine le plus ? L'agent qui a poussé le dernier commit s'appelle @smithaiagent-coder. C'est pas un humain. Linux a mis 10 ans pour atteindre ce niveau d'activité. Paperclip l'a fait en 7 jours. C'est soit le plus gros hype bubble de 2026. Soit l'infrastructure de la prochaine décennie. Je suis pas encore sûr. Mais je surveille. Lien du repo en commentaire 👇

• 
  klark (@devtest192) a signalé il y a 27 minutes

  @BlackCagou @DFintelligence @SNCFVoyageurs Tu peux héberger n'importe quoi sur un autre serveur que github... C'est useless pour le coup

• 
  noahniconii  (@noahniconii) a signalé il y a 29 minutes

  @JeremKOYTB Et je viens de voir sur le GitHub de ShairportQT, un post qui date d’il y a 2 ans, comme quoi il existe une release plus récente de Bonjour que celle dispo via le site d’Apple… via l’installation d’iTunes 🥀 (mais qui résoudrait le problème de popup Windows)

• 
  Sauce Sacla (@saucesacla) a signalé il y a 31 minutes

  @Rudy_dlt2 Github copilot w/ opus ou sonnet + spec kit = absolument 0 problème depuis que je les utilise

• 
  Le Fil IA (@Le_Fil_IA) a signalé il y a 34 minutes

  Une seule commande transforme n'importe quel dépôt open source en porte dérobée pour agents IA. Aucun scanner ne peut le détecter. CLI-Anything dépasse les 30 000 étoiles sur GitHub. Et les fichiers qu'il génère peuvent embarquer des instructions malveillantes invisibles. L'outil analyse un dépôt et génère des fichiers SKILL.md, des définitions en langage naturel qu'un agent IA utilise pour piloter un logiciel. Compatible Claude Code, Codex, Cursor, Copilot CLI. En février, Snyk avait déjà recensé 76 charges malveillantes confirmées dans des fichiers de ce type sur les principales plateformes de partage. Le problème de fond : SAST analyse la syntaxe, SCA vérifie les dépendances. Ni l'un ni l'autre ne comprend la couche sémantique où tournent tes agents. Une définition de compétence empoisonnée ne déclenche aucune CVE, n'apparaît jamais dans un SBOM. Cisco l'a confirmé en avril en annonçant son propre scanner, précisant que les outils existants "n'ont pas été conçus pour ça". Ce qui m'inquiète le plus : l'attaque est théorisée, l'outil est déployé, et les défenses n'ont même pas encore de catégorie pour nommer ce qu'elles cherchent. 🔍

• 
  Formacrypto (@Forma_crypto) a signalé il y a 34 minutes

  @github vient de confirmer ce matin une intrusion dans ses dépôts internes : environ 3 800 repositories compromis, vecteur d’attaque une extension VS Code empoisonnée installée par un employé. Le groupe TeamPCP (suivi comme UNC6780 par Google Threat Intelligence) revendique l’opération et propose les données volées à la vente sur des forums underground pour 50 000 dollars minimum. GitHub a réagi rapidement : isolation du poste compromis, retrait de l’extension malveillante, rotation immédiate des secrets et credentials les plus critiques. Point positif dans l’immédiat : aucune preuve d’impact sur les repositories clients, entreprises ou organisations. L’enquête est en cours et GitHub a promis de notifier directement si des données tierces sont affectées. L’élément le plus frappant de cet incident reste la banalité du vecteur : une extension d’un outil de développement quotidien, utilisé par des centaines de millions de développeurs, suffit à ouvrir une porte dans l’infrastructure interne de l’une des plateformes les plus critiques de la supply chain logicielle mondiale. TeamPCP avait déjà compromis le scanner Trivy plus tôt cette année via le même type d’approche, impactant plus de 1 000 organisations. Ce n’est pas un hasard isolé, c’est une stratégie d’attaque par la chaîne d’outils de développement qui monte en puissance.