Le 4 septembre 2026, Coder a détaillé un incident survenu le 31 août dans son registre de modules. Une clé API Cloudflare compromise a permis à un acteur non identifié d’ajouter des serveurs à la chaîne qui répondait pour registry.coder.com. Entre 07:35 et 21:45 UTC, certains téléchargements ont reçu des modules modifiés conçus pour rechercher et exfiltrer des identifiants. Le 29 septembre, Coder a indiqué que Coalition Incident Response avait confirmé le périmètre et validé les mesures prises. Coder a précisé que le résumé de cette revue indépendante pouvait être demandé à partir du 30 septembre; son article public ne le reproduit pas.
Un domaine légitime, une livraison altérée
Le point important n’est pas un faux domaine choisi par l’utilisateur. Coder indique que des requêtes vers le registre habituel pouvaient être redirigées vers un serveur malveillant. Les modules Terraform s’exécutent dans une chaîne de provisioning : ils peuvent donc voir les variables, jetons et fichiers auxquels le provisioner a accès.
Coder précise que son code source et son infrastructure Google Cloud n’ont pas été compromis. Cela ne réduit pas à zéro le risque pour un déploiement qui a récupéré un module pendant la fenêtre indiquée.
Le périmètre dépend de l’usage
Coder recommande de vérifier les créations ou mises à jour de templates, les simulations de build de templates et les workspaces construits sur un cluster où le cache de modules Terraform était désactivé. Le cache est activé par défaut. L’avis décrit deux contextes de lecture possibles : les builds de templates exposaient les secrets disponibles dans l’environnement du provisioner; les builds de workspaces pouvaient également exposer un jeton OIDC à usage unique, une clé SSH configurée et certains jetons d’authentification externes. Ces jetons OIDC n’incluaient pas de jetons de renouvellement.
Ces éléments ne permettent pas de déduire que chaque installation a exfiltré des secrets. Ils imposent en revanche une recherche ciblée pour les déploiements qui ont téléchargé des modules durant la fenêtre du 31 août.
Les vérifications à mener
Commencez par recenser les templates, versions de templates, simulations de build et workspaces créés durant la fenêtre du 31 août. Recherchez les connexions sortantes vers coder-infra.com, le domaine ressemblant à celui de Coder mentionné dans l’avis, ainsi que la chaîne data.external.telemetry dans les journaux des provisioners. Utilisez les requêtes SQL et les indicateurs publiés dans l’avis GitHub Coder; contrôlez aussi les journaux firewall, DNS, proxy et VPC ainsi que les caches de modules.
Mettez à jour Coder vers au moins la version 2.37.0, 2.36.4, 2.35.7 ou 2.34.9 correspondant à votre branche. Purgez les modules suspects du cache avant tout nouveau déploiement, puis reconstruisez les templates après vérification. Conservez les copies et empreintes utiles à l’enquête au lieu de les écraser pendant le nettoyage.
La rotation des secrets est prioritaire
Faites tourner les clés cloud, secrets CI/CD, identifiants d’outils IA et variables accessibles aux provisioners concernés. Si un workspace a été construit pendant la fenêtre, incluez les jetons OIDC à usage unique, clés SSH configurées et jetons d’authentification externes correspondants. Commencez par les comptes capables de modifier l’infrastructure ou de récupérer d’autres accès, et couvrez les secrets réutilisés dans plusieurs environnements. Pour organiser les comptes partagés et leurs règles de rotation, consultez notre guide du partage des mots de passe en équipe et notre guide de politique de mots de passe pour PME.
Un simple changement de version ne révoque pas un jeton déjà lu. Si un indicateur apparaît, isolez le workspace ou le provisioner, préservez les journaux et faites intervenir une équipe d’incident.
Le lien avec Soclyde
Soclyde ne contrôle pas Coder Registry et ne peut pas certifier qu’un module a été intègre. Il peut aider une équipe à générer des secrets uniques et à conserver l’inventaire des accès à renouveler dans des coffres chiffrés local-first, sans multiplier les copies dans des fichiers de configuration.
Cette organisation facilite la rotation après l’analyse, mais elle ne remplace pas la remédiation Coder, la vérification des caches ou la surveillance des sorties réseau.
À retenir
L’incident Coder montre qu’un téléchargement depuis un domaine attendu peut quand même provenir d’une infrastructure altérée. Identifiez les modules récupérés le 31 août, vérifiez les indicateurs, corrigez Coder et révoquez les secrets accessibles. Pour structurer cette rotation, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
