Mises à jour

04/05/2026, J+2, confirmation externe presse cybersécu

BleepingComputer reprend la divulgation Trellix et fixe l’échelle de l’éditeur : plus de 50 000 clients entreprises et administrations, plus de 200 millions d’endpoints sous protection. Trellix précise que le code accédé est du « code de développement produit » et n’inclut « ni les environnements ni les données clients ». Affirmation de l’éditeur, à vérifier comme le reste, mais c’est une affirmation cadrée, pas un silence.

Aucun élément technique nouveau : périmètre fin, durée d’intrusion et attribution restent non communiqués. La fenêtre du « peut-être que ça ne sortira pas » est fermée, l’incident est désormais officiellement repris par la presse cybersécu de référence.

Source : BleepingComputer, 04/05/2026

Le chasseur s’est fait chasser

Trellix vend de l’EDR (le truc qui surveille les processus de tes machines pour repérer les comportements suspects) à des entreprises et des administrations. Trellix est aussi partenaire industrie d’Europol sur les grosses opérations de takedown des dernières années : Endgame en novembre 2025 (1025+ serveurs Rhadamanthys, Elysium et VenomRAT démantelés), Cobalt Strike en juillet 2025. John Fokker, responsable du renseignement sur les menaces de la maison, donnait encore une interview au Register il y a quatre semaines pour expliquer comment Trellix aide à coffrer les opérateurs de rançongiciels.

Le 2 mai 2026, Trellix a publié un communiqué officiel sur son propre site pour annoncer qu’un acteur non identifié avait obtenu un accès non autorisé à une « portion » de son code source. Experts en investigation numérique mandatés, autorités notifiées, enquête en cours, formules d’usage. C’est leur code à eux qui s’est fait extraire.

Tu peux le formuler poliment, ou tu peux le formuler franchement : l’éditeur qui chasse les attaquants pour le compte d’Europol s’est fait visiter le repo. Et si tu trouves que c’est embarrassant pour Trellix, tu n’as pas tort. Si tu trouves que c’est isolé, par contre, tu n’as pas suivi les news des dix dernières années.

Ce qu’on sait, sourcé

Selon le communiqué officiel Trellix publié le 02/05/2026, un acteur non identifié a obtenu un accès non autorisé à une « portion » du code source, périmètre volontairement vague. L’éditeur a mandaté des experts en investigation numérique et notifié les autorités. Les détails sont repris verbatim par The Hacker News, Security Affairs et plusieurs autres sources presse cybersécu. Pour situer Trellix : partenaire industrie d’Europol sur les opérations Endgame (novembre 2025, 1025 serveurs Rhadamanthys, Elysium et VenomRAT démantelés) et détournement de Cobalt Strike (juillet 2025).

Histoire confirmée, mais jeune. C’est un SIGNAL, pas encore une ALERTE.

Ce que Trellix dit, ce que personne ne sait

Trellix affirme deux choses dans son communiqué : « pas d’évidence que le code source ait été exploité », « pas d’impact sur les produits clients ni sur le pipeline de distribution ». Tu prends ces deux affirmations comme tu prendrais n’importe quel communiqué d’une entreprise qui vient de se faire pirater : c’est la version de la victime. Pas un mensonge a priori, mais pas un fait vérifié non plus. « Pas d’évidence » en J+1, ça veut dire que les enquêteurs n’ont pas encore eu le temps de creuser.

Le reste, c’est du brouillard officiel.

Zones d’ombre non communiquées par Trellix au 03/05/2026

• Quels produits sont concernés (EDR, XDR, SIEM Helix, code historique McAfee Enterprise ou FireEye/Mandiant)
• Quand l’intrusion a commencé, combien de temps elle a duré
• Comment elle a été détectée (alerte interne, signalement externe, demande de rançon)
• Quelle plateforme hébergeait le repo (GitHub Enterprise, GitLab self-hosted, Azure DevOps)
• L’attribution : pas un nom, pas un groupe, rien
• Les données clients : silence radio, Trellix parle uniquement du code

Aucune de ces réponses n’est obligatoire le jour de la divulgation, soyons honnêtes. Le calendrier classique d’un incident de ce type prend des semaines. Mais c’est précisément pour ça qu’il faut tracer l’incertitude maintenant et pas la diluer dans une chronologie reconstruite trois mois plus tard, quand tout le monde aura oublié que personne ne savait rien le 3 mai.

Ce que ça rappelle (et ce que ça ne rappelle pas)

Pour cadrer : un éditeur cybersécu de premier rang qui se fait extraire son code, ce n’est ni nouveau ni anecdotique. FireEye en 2020 (Sunburst, outils Red Team exfiltrés). SolarWinds la même année (chaîne de build empoisonnée). Kaseya en 2021 (REvil par la supply chain). CrowdStrike en juillet 2024 (pas une intrusion mais un push malheureux qui a planté 8,5 millions de Windows). Aucun de ces incidents n’est strictement comparable à ce qui arrive à Trellix, et c’est justement le point : ils ne se ressemblent pas, mais ils racontent la même histoire structurelle. Aucun éditeur cybersécu n’est sanctuaire, y compris ceux qui chassent les attaquants pour le compte des États.

Ce que ça ne rappelle pas, en revanche : on ne sait pas si on parle d’un incident type Sunburst (compromission de la supply chain avec persistance dans les produits clients) ou d’une simple extraction de repo (du code dehors, pas d’impact aval). Trellix dit la deuxième option. L’enquête dira si c’est exact. D’ici là, « Trellix dit » et « c’est confirmé », c’est pas la même chose.

Ce que tu fais maintenant

1. Si tu as Trellix EDR ou XDR sur ton parc. Tu mets une alerte calendrier sur 30 jours pour suivre les communications Trellix et tu demandes par écrit à ton revendeur ou à ton chargé de compte la liste des produits exactement concernés (réponse souvent vague au début, insiste). Tu profites de la fenêtre pour planifier une revue de configuration que tu repoussais depuis six mois. Tu ne paniques pas, tu ne désinstalles pas dans la nuit.

2. Si tu as un autre EDR. Tu ne changes pas d’éditeur sur un coup de tête. L’herbe n’est pas plus verte ailleurs, demande à ceux qui ont remplacé leur EDR par CrowdStrike juste avant juillet 2024. Tu continues ton monitoring, et tu prends cet incident comme un rappel que ta posture sécu ne peut pas reposer sur une couche unique, peu importe l’éditeur.

3. Si tu es un particulier sur Mac. Ça ne change strictement rien à ton quotidien aujourd’hui. Trellix n’est pas un produit grand public Apple. Ce qui te concerne, c’est le rappel : ton antivirus, ton EDR, ton VPN, ton gestionnaire de mots de passe sont tous des éditeurs qui peuvent se faire pirater. La défense en profondeur, ce n’est pas un slogan. Ta sécu en open source self-host et multicouches. On revient là-dessus bientôt.