Последние новости: GitHub

Многолетняя фишинговая кампания Operation HookedWing затронула более 500 организаций и привела к краже свыше 2000 учётных данных. Атака работала с 2022 года и била по авиации, энергетике, госсектору, критической инфраструктуре, логистике, финансам и ИТ. Злоумышленники использовали ссылки на GitHub Pages …

Checkmarx предупредила клиентов о поддельной версии своего Jenkins AST Scanner — плагина, который подключает проверки безопасности Checkmarx One к пайплайнам Jenkins. Вредоносная сборка 2026.5.09 появилась в Jenkins Marketplace 9 мая 2026 года и была доступна до 10 мая. Компания советует …

Российские пользователи начали жаловаться на проблемы с доступом к GitHub. По данным профильных площадок, доступность сервиса начала снижаться с 5 мая, а часть подключений из России стала завершаться ошибками. Роскомнадзор заявил, что не ограничивает работу GitHub, а официальный статус GitHub …

Jenkins закрыл серию опасных уязвимостей в популярных плагинах: одна из них позволяет записывать файлы в произвольные места на сервере и при определённых настройках может привести к удалённому выполнению кода.

GitHub Actions, токены и релизы стали новой поверхностью атаки. Доверять пакетам «потому что они популярные» больше нельзя.

Gemini CLI доверял чужому коду и запускал команды: Google срочно закрыл критическую уязвимость

Уязвимость CVE-2026-3854 позволяла выполнять код на серверах GitHub через git push. Под угрозой были миллионы публичных и приватных репозиториев.

Исследователь показал, как GitHub-комментарии, issue и заголовки PR можно использовать для prompt injection против Claude Code, Gemini CLI Action и GitHub Copilot Agent. Атака позволяет вытаскивать токены и API-ключи из окружения.

Marimo не успел обновиться: критическую RCE начали эксплуатировать в тот же день. Одна публикация — и сразу атака, хакеры собрали эксплойт по описанию

Через сайт об ILSpy начали раздавать вредоносное расширение для браузера

Критическая уязвимость в Dgraph: без входа можно перезаписать базу и читать файлы сервера

Исследователи BeyondTrust Phantom Labs обнаружили в OpenAI Codex уязвимость, которая позволяла через специально подготовленное имя ветки GitHub выполнять команды в контейнере агента и извлекать OAuth-токены. OpenAI уже исправила проблему, но история показала новые риски агентной разработки.

Популярная JavaScript-библиотека axios оказалась в центре серьезного инцидента с цепочкой поставок ПО (supply chain attack). Исследователи StepSecurity сообщили, что в npm были опубликованы две вредоносные версии пакета, axios@1.14.1 и axios@0.30.4.

Supply chain-атака на Trivy: скомпрометированы релизы, GitHub Actions и Docker-образы

В PyPI обнаружили вредоносные версии официального Python SDK Telnyx — 4.87.1 и 4.87.2. Разбираем, что произошло, какие системы были под угрозой, как работала атака и что делать разработчикам и DevOps-командам.