GitHub a publié le 23 octobre 2026 le bilan d’une erreur ayant supprimé des comptes Enterprise Managed Users au lieu de les suspendre. L’incident concernait certaines demandes de retrait d’accès transmises par SCIM entre le 1er et le 13 juin 2026.
Des fiches restaurées pour retrouver la traçabilité
Selon le changelog officiel, les comptes concernés apparaissaient comme des utilisateurs fantômes dans les issues, les pull requests et les journaux d’audit. GitHub avait désactivé le chemin de traitement fautif le 13 juin.
L’entreprise annonce une correction du code et la restauration des fiches en octobre, dans l’état suspendu avec identité masquée attendu. Cette réparation vise la traçabilité et l’historique d’audit. GitHub indique qu’aucune action n’est nécessaire de la part des propriétaires d’entreprise.
Restaurer une fiche ne signifie pas rouvrir un accès
La documentation SCIM de GitHub distingue deux formes de retrait d’accès. Dans les deux cas, le compte est suspendu. Mais un compte ayant fait l’objet d’un retrait définitif, appelé « hard-deprovisioning », ne peut pas être réactivé ; un nouvel accès nécessite un nouveau compte.
Le correctif annoncé ne change pas cette règle. Il ne faut donc pas confondre restauration des fiches et rétablissement des permissions. L’annonce porte sur un incident de gestion des identités, pas sur un piratage démontré ou une perte de code annoncée.
