云凭据

约 4,800 个 GitHub 账户被疑似被盗令牌滥用，CI 密钥与云凭据遭窃（2026 年 11 月）：仓库所有者今天该做什么

自 2026 年 11 月 10 日前后起，约 4,800 个 GitHub 账户被疑似被盗的有效令牌用来向大量仓库发送试探性拉取请求，并在其中一部分仓库中做出恶意变更，窃取 GitHub Actions 密钥和云凭据。调查的三家安全公司统计的内容各不相同。A 公司报告称，4,837 个账户向 61,764 个仓库发送了试探性拉取请求，并且至少在 1,835 个仓库中恶意代码得以运行并将凭据发送出去。B 公司统计的是收到恶意变更的 8,093 个公开仓库（不是代码运行的数量）。C 公司称，没有利用 GitHub Actions 的漏洞，用的是有效令牌。一部分试探性拉取请求来自发给某云服务商 GitHub 应用的令牌；该服务商称其自身基础设施未遭入侵，是其部署流程把令牌留在了部分客户应用可能暴露的位置。截至 11 月 14 日我们查看时，GitHub 尚未就此发布任何内容（未说明）。本站的看法：这是一种等待补丁无法阻止的攻击。优先事项是检查不认识的拉取请求、分支和 Actions 运行记录，撤销并重新签发密钥，并检查云端的信任设置。