خرق بيانات مستودعات GitHub الداخلية لعام 2026

يؤكد تحديث أمني رسمي نشره مسؤول أمن المعلومات (CISO) في GitHub، Alexis Wales، بصورة مباشرة أن إضافة VS Code ملغّمة من جهة خارجية تسببت في اختراق جهاز أحد الموظفين، وأن مستودعات GitHub الداخلية سُرّبت. وقالت الشركة إن ادعاء المهاجم المتعلق بنحو 3,800 مستودع كان متسقًا في خطوطه العامة مع تحقيقها الجاري. وهذا الرقم يقيس عدد المستودعات، لا عدد الأشخاص أو سجلات العملاء.

نشر BleepingComputer في 20 مايو تقريرًا عن تأكيد GitHub للحادث وعن نطاقه الذي شمل نحو 3,800 مستودع؛ ثم أفاد تقرير متابعة في 21 مايو بأن الشركة حددت الإضافة الخبيثة بأنها Nx Console. وتؤيد هذه التقارير بصورة مستقلة ما ورد في مدونة GitHub بشأن اختراق جهاز الموظف، وتسريب المستودعات الداخلية، وحدود التأثير على العملاء، وتدوير الأسرار. ولا تُعد الادعاءات الإضافية الواردة في إعلان البيع الذي نشره المهاجم جزءًا من النطاق المؤكد.

وفقًا لفريق Nx، أدى هجوم سلسلة التوريد الذي استهدف TanStack إلى تسرب بيانات اعتماد GitHub CLI الخاصة بأحد المطورين، وأتاح للمهاجم تشغيل مسارات العمل في مستودع Nx. ثم نُشرت لفترة وجيزة نسخة خبيثة من Nx Console بالإصدار 18.95.0 عبر Visual Studio Marketplace وOpen VSX. وصُممت حمولتها الخبيثة لجمع أسرار خدمات تشمل GitHub وnpm وAWS وKubernetes وGCP وDocker من أجهزة المطورين.

أدى تثبيت أحد موظفي GitHub للإضافة الملغّمة إلى اختراق جهاز العمل وصلاحيات وصوله إلى GitHub. وأزالت GitHub النسخة الخبيثة من سوق الإضافات، وعزلت الجهاز الطرفي، وبدأت تدوير الأسرار بالغة الأهمية بحسب أولوية تأثيرها. وبدأت سلسلة الهجوم بوصول أداة تطوير تبدو موثوقة إلى جهاز موظف، لا بثغرة عامة في المصادقة على منصة GitHub.

فئة البيانات التي أكدت الشركة تسريبها هي المعلومات المخزنة في مستودعات GitHub الداخلية التابعة للشركة. وكان النطاق التقني البالغ نحو 3,800 مستودع هو ما قالت GitHub إنه متسق في خطوطه العامة مع تحقيقها؛ ولم تنشر قائمة تفصيلية بكل مستودع، أو عدد الملفات الفريدة، أو الحجم الإجمالي للبيانات.

ذكرت GitHub تحديدًا أن بعض المستودعات الداخلية تحتوي على معلومات مصدرها العملاء، بما في ذلك مقتطفات من تفاعلات الدعم. ولا يثبت ذلك أن كل مستودع احتوى على بيانات عملاء، أو أن كل عميل تلقى دعمًا قد تأثر. وقالت الشركة إنها ستستخدم قنوات الاستجابة للحوادث والإخطار المعتمدة إذا تبين وجود تأثير، لكنها لم تنشر إجماليًا لعدد الأشخاص أو العملاء أو سجلات الدعم.

لم يجد التحديث الرسمي أي دليل على تأثر بيئات المؤسسات أو المنظمات أو المستودعات الخاصة بالعملاء والمستضافة على GitHub. ويقتصر التسريب المؤكد على مستودعات GitHub الداخلية. لذلك لا يمكن اعتبار مئات الملايين من المطورين، وملايين المنظمات، والعدد الإجمالي للمستودعات على المنصة إجماليًا للمتأثرين بخرق البيانات.

لم يُطلب من عملاء GitHub Enterprise Cloud اتخاذ أي إجراء خاص بهذا الحادث. وطُلب من مسؤولي GitHub Enterprise Server تحديث مفتاح توقيع GPG العام في نُسخ الخدمة لديهم، بعد أن دوّرته الشركة احترازيًا. وقالت GitHub إن جميع الملفات الثنائية التي تستضيفها سليمة؛ ولا يعني طلب تحديث المفتاح أنه جرى توزيع ملف ثنائي خبيث لـ GHES.

دوّرت GitHub الأسرار بالغة الأهمية من يوم الاثنين 18 مايو وحتى يوم الثلاثاء، مع إعطاء الأولوية لبيانات الاعتماد ذات التأثير الأكبر. وواصلت تحليل السجلات، والتحقق من عمليات التدوير، ومراقبة البنية التحتية لرصد أي نشاط لاحق. وذكر تحديث بتاريخ 26 مايو أن مفتاح توقيع GitHub Enterprise Server كان يُستبدل أيضًا، توخيًا لمزيد من الحذر بالنظر إلى المستودعات التي تعرضت للهجوم.

يتيح مفتاح توقيع GHES التحقق من أن GitHub هي مصدر الملف الثنائي أثناء تحديث يُبدأ يدويًا. وقد يؤدي عدم تثبيت المفتاح العام الجديد إلى تعذر التحقق من صحة التصحيحات والإصدارات المستقبلية، لكن GitHub لم تبلغ عن فساد الملفات الثنائية الحالية التي تستضيفها.

يستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ويتمثل الحدث المتحقق منه في الوصول إلى الجهاز الطرفي عبر إضافة Nx Console الملغّمة، وتسريب نحو 3,800 من مستودعات GitHub الداخلية. ولم تنشر الشركة إجماليًا قابلًا للتحقق لعدد الأشخاص المتأثرين أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادث لم يكن له أثر، بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا.

ينبغي للقراء اعتبار بيانات المستودعات الداخلية، وما قد تحتوي عليه من مقتطفات من تفاعلات دعم العملاء، فئات بيانات مؤكدة. ولا يوجد دليل على تأثر المنظمات والمستودعات الخاصة بالعملاء أنفسهم أو GitHub Enterprise Cloud. ويمكن تحديث السجل إذا نُشر تقرير تحقيق كامل أو إجمالي لعدد من جرى إخطارهم؛ أما القيمة الحالية البالغة صفرًا فتعني أن عدد الأشخاص غير معروف.