Последние новости: GitHub

Американское агентство по кибербезопасности CISA опубликовало разбор собственного инцидента с утечкой облачных ключей, паролей и материалов внутренней разработки. Данные почти полгода находились в открытом репозитории GitHub, созданном подрядчиком агентства.

Исследователи обнаружили на GitHub сеть из 222 репозиториев, созданных для распространения вредоносных программ под видом полезных инструментов. В подтверждённое ядро инфраструктуры вошли 190 учётных записей. Репозитории маскировались под средства проверки доменов, расширения для криптокошельков, торговых роботов, ботов для Telegram и …

Исследователи описали новый тип обхода защитных фильтров в IDE-агентах: GitHub Copilot отказывается отвечать на вредные запросы в обычном чате, но может сгенерировать те же опасные ответы внутри файлов, тестовых данных и программного конвейера. Проблема не в одном «магическом» промпте, а …

GitHub сделал недоступным аккаунт разработчика Flowseal вместе со всеми связанными репозиториями. При попытке открыть профиль и популярный проект zapret-discord-youtube пользователи видят ошибку 404. Через этот репозиторий распространялась одна из самых известных готовых Windows-сборок Zapret для работы с Discord, YouTube и …

Исследователи Noma Security показали новую атаку на GitHub Agentic Workflows — механизм GitHub для запуска ИИ-агентов внутри GitHub Actions. Сценарий назвали GitLost. Злоумышленнику не нужны украденные токены, доступ к организации или права на приватные репозитории. Достаточно открыть обычный Issue в …

Anthropic запустила программу Claude for Open Source для разработчиков, которые поддерживают проекты с открытым кодом. Участникам обещают шесть месяцев бесплатного Claude Max 20x — старшего пользовательского тарифа Claude с увеличенными лимитами.

Исследователи Mozilla 0DIN показали атаку на ИИ-агентов для разработки: внешне чистый GitHub-репозиторий может заставить coding agent выполнить вредоносную цепочку при настройке проекта. В самом репозитории нет очевидного вредоноса, поэтому его могут пропустить сканеры, человек и сам ИИ. Проблема не в …

actions/checkout@v7 теперь по умолчанию блокирует популярный путь для атак на цепочки поставки: запуск кода из чужого pull request в привилегированном workflow. Старые мажорные версии получат защиту 16 июля 2026 года.

Один клик в github.dev мог отдать атакующему GitHub-токен разработчика. Microsoft закрыла атаку после публикации PoC для кражи токенов

Microsoft предупредила о риске утечки CI/CD-секретов через Claude Code GitHub Action. Один комментарий в GitHub мог заставить Claude Code прочитать секреты сборочного конвейера

Red Hat подтвердила компрометацию npm-пакетов в пространстве @redhat-cloud-services. Вредоносные версии содержали вариант Shai-Hulud под названием Miasma, который крадёт GitHub-токены, npm-токены, облачные ключи, SSH-ключи и другие секреты разработчиков.

Исследователи CrowdStrike, Google и Shadowserver Foundation отключили инфраструктуру GlassWorm — самораспространяющегося вредоносного червя, который атаковал разработчиков через расширения VS Code, OpenVSX, npm- и Python-пакеты, а затем использовал украденные токены для заражения новых репозиториев и пакетов. Операция прошла 26 мая 2026 …

Один день, 5718 коммитов. GitHub Actions превратили в стилер: Megalodon украл секреты CI/CD у тысяч проектов. Supply chain-атака Megalodon ударила по токенам, SSH-ключам и облачным доступам. Фейковые build-bot и ci-bot залили малварь в тысячи репозиториев.

Киберпреступники превратили взлом open source в конкурс: $1 000 за самый крупный supply chain. Риск — массовые атаки на цепочки поставок

Экосистема npm пережила заметный сдвиг: вредоносные пакеты перестали быть мелким шумом вокруг опечаток в названиях библиотек. Атаки всё чаще бьют по реальным пакетам, учётным записям сопровождающих, сборочным конвейерам и токенам публикации. Главная цель — не компьютер отдельного разработчика, а вся …