2026-11-14
GitHubの約4,800アカウントが盗まれたとみられるトークンで悪用、CIの秘密情報とクラウド認証情報が窃取（2026年11月）：リポジトリ管理者が今日やること
2026年11月10日ごろから、盗まれたとみられる有効なトークンを使って約4,800のGitHubアカウントが、多数のリポジトリに確認用のプルリクエスト（probe）を送り、一部では悪意ある変更を加えてGitHub Actionsの秘密情報とクラウドの認証情報を盗んだ。調査した3つのセキュリティ企業の数字は数え方が違う。企業Aは4,837アカウントが61,764リポジトリに確認用のプルリクエストを送り、少なくとも1,835のリポジトリで不正なコードが実行されて認証情報が外部へ送られたと報告した。企業Bは、8,093の公開リポジトリが悪意ある変更を受けたと数えた（実行された数ではない）。企業Cは、GitHub Actionsの不具合は使われておらず、有効なトークンの悪用だとした。確認用のプルリクエストの一部は、あるクラウド事業者のGitHubアプリが発行したトークン由来で、同事業者は自社の基盤は侵害されておらず、デプロイの仕組みがトークンを残していたと公表している。GitHubの公式の発表は、11月14日に確認した範囲では記載なし。当サイトの見解：パッチを待っても守れない型で、見覚えのないプルリクエスト・ブランチ・Actionsの実行の確認と、秘密情報の失効、クラウド側の信頼設定の点検が要点になる。