2026-11-14
Около 4 800 аккаунтов GitHub использованы с, по-видимому, украденными токенами, похищены секреты CI и облачные учётные данные (ноябрь 2026): что владельцам репозиториев сделать сегодня
Примерно с 10 ноября 2026 года около 4 800 аккаунтов GitHub использовались с действующими токенами, которые, по-видимому, были украдены: с них рассылали пробные запросы на слияние (pull request) в очень большое число репозиториев, а в некоторых вносили вредоносные изменения, похищавшие секреты GitHub Actions и облачные учётные данные. Три исследовавшие компании по информационной безопасности считают разное. Компания A сообщает, что 4 837 аккаунтов отправили пробные pull request в 61 764 репозитория и что вредоносный код выполнился и отправил учётные данные наружу минимум в 1 835 репозиториях. Компания B считает 8 093 публичных репозитория, получивших вредоносные изменения (это не число случаев выполнения). Компания C говорит, что уязвимость GitHub Actions не использовалась, применялись действующие токены. Часть пробных pull request пришла с токенов, выпущенных для GitHub-приложения одного облачного провайдера; провайдер говорит, что его инфраструктура не взломана, а его процесс развёртывания оставил токены там, где их открывали некоторые клиентские приложения. На момент проверки 14 ноября GitHub ничего об этом не публиковал (не указано). Наш взгляд: это тип атаки, который нельзя остановить, дожидаясь патча. Приоритет — проверка незнакомых pull request, веток и запусков Actions, отзыв и перевыпуск секретов, пересмотр облачных настроек доверия.