Bitwarden CLI frappé par une attaque de la chaîne d’approvisionnement, un paquet malveillant distribué pendant 1,5 heure

Message des Nouvelles Gate, 24 avril — La version 2026.4.0 de Bitwarden CLI a été compromise dans une attaque par chaîne d’approvisionnement entre 17:57 et 19:30 (ET) le 24 avril, selon le CISO de SlowMist, 23pds. Les attaquants ont exploité les GitHub Actions dans le pipeline CI/CD de Bitwarden pour injecter un paquet malveillant qui a été brièvement distribué via npm.

L’attaque a ciblé le workflow d’intégration continue du dépôt, permettant du code non autorisé d’atteindre le registre de paquets. Toutefois, Bitwarden a confirmé que les données du coffre (Vault) n’ont pas été compromises, que les systèmes de production n’ont pas été affectés et que seuls les utilisateurs ayant installé la version 2026.4.0 depuis npm pendant la fenêtre de 1,5 heure ont été touchés.

Bitwarden a conseillé aux utilisateurs concernés de désinstaller immédiatement la version 2026.4.0, d’effacer le cache npm, de faire pivoter (rotater) les jetons API et les clés SSH, d’auditer l’activité GitHub et CI pour détecter toute anomalie, et de passer à la version corrigée 2026.4.1.