Un outil censé protéger votre code JavaScript qui installe discrètement un binaire malveillant : voilà le genre d’ironie dont la supply chain logicielle raffole. La version 8.14.0 du paquet npm jscrambler a été compromise. Elle exécute un binaire caché, adapté à chaque système d’exploitation, au moment même de l’installation. Windows, macOS, Linux : personne n’est épargné, et à la date du 11 juillet 2026, aucun correctif n’est disponible.
Points clés
- Le paquet npm jscrambler 8.14.0 exécute un binaire malveillant caché pendant l’installation
- La charge utile s’adapte à Windows, macOS et Linux
- Aucun correctif n’était disponible au 11 juillet 2026
- Vérifier ses dépendances et désactiver les scripts post-install reste la meilleure parade
Un script d’installation qui fait bien plus que d’installer
Le mode opératoire est un classique du genre qui ne cesse de fonctionner. Le paquet embarque un script exécuté automatiquement pendant le npm install. Sauf qu’ici, ce script ne se contente pas de mettre en place l’outil : il détecte la plateforme hôte, puis lance le binaire correspondant. L’utilisateur, lui, ne voit rien. Aucun avertissement, aucune fenêtre suspecte, juste une installation qui semble parfaitement normale.
Le choix du binaire selon l’OS est particulièrement soigné. Cela signifie que les attaquants ont préparé une charge utile pour chaque environnement plutôt que de miser sur une seule cible. Un développeur macOS n’est donc pas plus tranquille que son collègue sous Windows ou sous Linux.
Pas de correctif, des réflexes à adopter
En l’absence de version corrigée, la prudence s’impose. Les équipes qui utilisent jscrambler doivent vérifier si la version 8.14.0 s’est glissée dans leurs dépendances, épingler une version antérieure de confiance et surveiller tout comportement anormal sur les machines ayant exécuté l’installation. Les scripts post-install restent l’une des portes d’entrée préférées des attaques sur la chaîne d’approvisionnement logicielle, et npm en a fait les frais à répétition.
La leçon n’est pas neuve mais elle mérite d’être répétée jusqu’à l’usure : un simple install peut ouvrir une session shell à un inconnu. Auditer ses dépendances, désactiver l’exécution automatique des scripts quand c’est possible et lire ce qu’on installe restent les seules parades sérieuses. Faire confiance à un registre public, c’est parfois signer un chèque en blanc.
