Последние новости: GitHub

Уязвимость CVE-2026-3854 позволяла выполнять код на серверах GitHub через git push. Под угрозой были миллионы публичных и приватных репозиториев.

Исследователь показал, как GitHub-комментарии, issue и заголовки PR можно использовать для prompt injection против Claude Code, Gemini CLI Action и GitHub Copilot Agent. Атака позволяет вытаскивать токены и API-ключи из окружения.

Marimo не успел обновиться: критическую RCE начали эксплуатировать в тот же день. Одна публикация — и сразу атака, хакеры собрали эксплойт по описанию

Через сайт об ILSpy начали раздавать вредоносное расширение для браузера

Критическая уязвимость в Dgraph: без входа можно перезаписать базу и читать файлы сервера

Исследователи BeyondTrust Phantom Labs обнаружили в OpenAI Codex уязвимость, которая позволяла через специально подготовленное имя ветки GitHub выполнять команды в контейнере агента и извлекать OAuth-токены. OpenAI уже исправила проблему, но история показала новые риски агентной разработки.

Популярная JavaScript-библиотека axios оказалась в центре серьезного инцидента с цепочкой поставок ПО (supply chain attack). Исследователи StepSecurity сообщили, что в npm были опубликованы две вредоносные версии пакета, axios@1.14.1 и axios@0.30.4.

Supply chain-атака на Trivy: скомпрометированы релизы, GitHub Actions и Docker-образы

В PyPI обнаружили вредоносные версии официального Python SDK Telnyx — 4.87.1 и 4.87.2. Разбираем, что произошло, какие системы были под угрозой, как работала атака и что делать разработчикам и DevOps-командам.

GitHub расширяет GitHub Code Security за счет ИИ-детекторов уязвимостей. Разбираем, как новая схема будет работать вместе с CodeQL, какие языки и экосистемы затронуты и что известно о сроках запуска.

420 новых CVE за сутки. Обход аутентификации в плагине Tutor LMS Pro для WordPress (CVSS 9.8) позволяет войти под любым пользователем. SQL-инъекция в системе автоматизации АЗС «Нефтепродукттехника» открывает базу данных заправки.

Обнаружена масштабная кампания: сотни поддельных репозиториев распространяют вредоносный код для кражи данных.

Компания Anthropic представила обновлённую версию своей флагманской ИИ‑модели Claude Opus 4.6. Новинка переходит от роли чат‑бота к статусу автономного агента.

Ваш бухгалтер получил странный документ? Будьте осторожны. Fortinet FortiGuard Labs зафиксировала новую волну атак на российские компании.