Le 20 octobre 2026, GitHub ouvre en préversion publique un pare-feu qui s’interpose entre les runners Actions, les agents de code et le registre npm, en inspectant les requêtes de métadonnées comme les téléchargements. Il bloque le malware au moment de l’installation, là où les scanners arrivent trop tard : activez-le si votre CI installe du code tiers.
Le 16 octobre 2026, GitHub rend disponible en version générale la conformité des licences open source : un ruleset exige des résultats conformes avant le merge et bloque toute pull request qui ajoute une dépendance sous licence non acceptable. Pour les entreprises qui gouvernent déjà leurs dépendances, c’est le passage de l’audit a posteriori à la politique appliquée dans la CI.
Le 14 octobre 2026, GitHub détaille la réécriture de son endpoint stargazers, qui exigeait 2 511 requêtes pour reconstruire la courbe de react/react et se faisait moissonner pour du spam. La leçon est transposable à toute API : réduire la réponse ne réduit pas le coût de la requête, c’est l’ordre du travail en base qu’il faut changer.
Le 8 octobre 2026, Apiiro révèle que la campagne FakeGit a réactivé 17 610 faux dépôts GitHub qui distribuent le chargeur SmartLoader, dont plusieurs centaines imitent des compétences IA et des serveurs MCP. Avant d’installer un dépôt depuis GitHub, vérifiez le propriétaire du compte et privilégiez les registres officiels.
GitHub met en ligne un modèle de détection de secrets fine-tuné, qui lit le code environnant pour repérer des mots de passe sans format de jeton reconnaissable — ce que les motifs regex de la détection classique laissent passer. Si vous payez déjà GHAS ou GHSP, la bascule est gratuite et automatique ; les contrôles IA de push protection et de revue, eux, consommeront des AI Credits à budgéter.
GitHub annonce la disponibilité générale des pull requests empilées, qui découpent une grosse évolution en petites demandes revues indépendamment puis fusionnées ensemble. Si vos branches se bloquent les unes les autres, les chiffres de GitHub — 9 % de code fusionné en plus, 5 % de délai de fusion en moins — justifient de les adopter dès maintenant.
Le Taskflow Agent de GitHub Security Lab a trouvé 24 vulnérabilités Android réelles, du suivi de localisation via OsmAnd à la prise de contrôle de comptes Wikipédia. L’IA sait désormais trouver les bugs de logique à fort impact, mais pas encore les hiérarchiser.
Le 18 septembre 2026, CrowdSec a révélé qu’un attaquant a copié environ 170 dépôts GitHub privés en mai, via le compte d’un ancien salarié dont l’accès n’avait pas été révoqué. La compromission initiale venait des paquets npm malveillants de TanStack, qui ont aussi touché Mistral AI et OpenAI.
Le 20 août 2026, le CTO de GitHub a publié le post-mortem de la panne du 17 août : 7 h 47 d’indisponibilité causées par un composant d’infrastructure qui n’a pas suivi la montée en charge, alors que les commits mensuels sont passés de 1,4 à 2,9 milliards depuis avril. La leçon pour les équipes SRE tient en deux mots : retry budgets.
De TanStack à Trellix en passant par GitHub Megalodon, les cinq plus grandes attaques de la chaîne d’approvisionnement de 2026 démontrent que votre surface d’attaque s’étend jusqu’au moindre npm install. La gestion du risque tiers doit devenir continue.
Le 17 mars 2026, GitHub Enterprise Server 3.20 passe en disponibilité générale avec deux verrous structurels : les releases deviennent immuables et le secret scanning gagne des contrôles de gouvernance au niveau entreprise. Dans un contexte où les attaques supply chain se multiplient, cette version transforme la forge en bastion.
