GitHub-এর অভ্যন্তরীণ রিপোজিটরিতে 2026 সালের তথ্য ফাঁস

GitHub-এর CISO Alexis Wales-এর আনুষ্ঠানিক নিরাপত্তা হালনাগাদে সরাসরি নিশ্চিত করা হয়েছে যে ক্ষতিকর কোডযুক্ত একটি তৃতীয় পক্ষের VS Code এক্সটেনশন এক কর্মীর ডিভাইসের নিরাপত্তা ভঙ্গ করেছে এবং GitHub-এর অভ্যন্তরীণ রিপোজিটরি থেকে তথ্য বাইরে সরিয়ে নেওয়া হয়েছে। কোম্পানি জানায়, প্রায় 3,800 রিপোজিটরি নিয়ে আক্রমণকারীর দাবি তাদের চলমান তদন্তে উঠে আসা চিত্রের সঙ্গে মোটামুটি সামঞ্জস্যপূর্ণ। এই সংখ্যা রিপোজিটরির হিসাব, ব্যক্তি বা গ্রাহকের রেকর্ডের নয়।

BleepingComputer 20 মে GitHub-এর নিশ্চিতকরণ এবং প্রায় 3,800 রিপোজিটরি নিয়ে ঘটনাটির পরিধির কথা জানায়; 21 মে প্রকাশিত পরবর্তী প্রতিবেদনে বলা হয়, কোম্পানি ক্ষতিকর এক্সটেনশনটিকে Nx Console হিসেবে শনাক্ত করেছে। প্রতিবেদনগুলো GitHub-এর ব্লগে উল্লেখ করা কর্মীর ডিভাইসের নিরাপত্তা ভঙ্গ, অভ্যন্তরীণ রিপোজিটরি থেকে তথ্য বাইরে সরিয়ে নেওয়া, গ্রাহকদের ওপর প্রভাবের সীমা এবং সিক্রেট পরিবর্তনের বিষয়গুলো স্বাধীনভাবে সমর্থন করে। আক্রমণকারীর বিক্রির বিজ্ঞাপনে থাকা অতিরিক্ত দাবিগুলোকে ঘটনার নিশ্চিত পরিধি হিসেবে ধরা হয়নি।

Nx দলের ভাষ্য অনুযায়ী, TanStack সাপ্লাই-চেইন আক্রমণে এক ডেভেলপারের GitHub CLI ক্রেডেনশিয়াল ফাঁস হয় এবং আক্রমণকারী Nx রিপোজিটরিতে ওয়ার্কফ্লো চালানোর সুযোগ পায়। এরপর Nx Console-এর 18.95.0 সংস্করণের একটি ক্ষতিকর কপি অল্প সময়ের জন্য Visual Studio Marketplace ও Open VSX-এ প্রকাশ করা হয়। এর পেলোডটি ডেভেলপারদের ডিভাইস থেকে GitHub, npm, AWS, Kubernetes, GCP ও Docker-সহ বিভিন্ন সেবার সিক্রেট সংগ্রহের জন্য তৈরি করা হয়েছিল।

GitHub-এর এক কর্মী ক্ষতিকর কোডযুক্ত এক্সটেনশনটি ইনস্টল করায় তাঁর কাজের ডিভাইস এবং সেটির GitHub অ্যাক্সেসের নিরাপত্তা ভঙ্গ হয়। GitHub মার্কেটপ্লেসের ক্ষতিকর সংস্করণটি সরিয়ে দেয়, এন্ডপয়েন্টটি বিচ্ছিন্ন করে এবং প্রভাবের মাত্রা অনুযায়ী গুরুত্বপূর্ণ সিক্রেটগুলো পরিবর্তন করা শুরু করে। আক্রমণের এই ধারাবাহিকতার শুরু ছিল বিশ্বস্ত বলে মনে হওয়া একটি ডেভেলপার টুল কর্মীর ডিভাইসে পৌঁছানোর মাধ্যমে; GitHub প্ল্যাটফর্মের কোনো সাধারণ পরিচয় যাচাই-সংক্রান্ত দুর্বলতা এর উৎস ছিল না।

কোম্পানির নিশ্চিত করা তথ্যের শ্রেণি হলো GitHub-এর অভ্যন্তরীণ করপোরেট রিপোজিটরিতে সংরক্ষিত তথ্য। প্রায় 3,800 রিপোজিটরির এই প্রযুক্তিগত পরিধিকে GitHub তাদের তদন্তে উঠে আসা চিত্রের সঙ্গে মোটামুটি সামঞ্জস্যপূর্ণ বলে জানিয়েছে; তারা প্রতিটি রিপোজিটরির তালিকা, স্বতন্ত্র ফাইলের সংখ্যা বা তথ্যের মোট পরিমাণ প্রকাশ করেনি।

GitHub স্পষ্টভাবে জানিয়েছে, কিছু অভ্যন্তরীণ রিপোজিটরিতে গ্রাহকদের কাছ থেকে পাওয়া তথ্য রয়েছে, যার মধ্যে সহায়তা-সংক্রান্ত কথোপকথনের অংশবিশেষও আছে। এতে প্রমাণ হয় না যে প্রতিটি রিপোজিটরিতে গ্রাহকের তথ্য ছিল বা সহায়তা নেওয়া প্রত্যেক গ্রাহক প্রভাবিত হয়েছেন। কোম্পানি জানায়, কোনো প্রভাব শনাক্ত হলে তারা প্রতিষ্ঠিত ঘটনা মোকাবিলা ও অবহিতকরণ ব্যবস্থা ব্যবহার করবে। তবে তারা ব্যক্তি, গ্রাহক বা সহায়তা-সংক্রান্ত রেকর্ডের মোট সংখ্যা প্রকাশ করেনি।

আনুষ্ঠানিক হালনাগাদে বলা হয়েছে, GitHub-এ হোস্ট করা গ্রাহকদের নিজস্ব এন্টারপ্রাইজ, অর্গানাইজেশন ও রিপোজিটরি প্রভাবিত হওয়ার কোনো প্রমাণ পাওয়া যায়নি। নিশ্চিতভাবে তথ্য বাইরে সরিয়ে নেওয়ার ঘটনাটি GitHub-এর অভ্যন্তরীণ রিপোজিটরিতেই সীমিত। তাই প্ল্যাটফর্মটির কয়েকশ মিলিয়ন ডেভেলপার, কয়েক মিলিয়ন অর্গানাইজেশন এবং সব রিপোজিটরির মোট সংখ্যাকে তথ্য ফাঁসের ঘটনায় ক্ষতিগ্রস্তদের মোট সংখ্যা হিসেবে ধরা যায় না।

GitHub Enterprise Cloud-এর গ্রাহকদের এই ঘটনার জন্য আলাদা কোনো পদক্ষেপ নেওয়ার প্রয়োজন ছিল না। সতর্কতামূলক ব্যবস্থা হিসেবে কোম্পানি পাবলিক GPG সাইনিং কী পরিবর্তন করার পর GitHub Enterprise Server-এর প্রশাসকদের নিজ নিজ ইনস্ট্যান্সে সেটি হালনাগাদ করতে বলা হয়। GitHub জানায়, তাদের হোস্ট করা সব বাইনারি বৈধ ছিল; কী পরিবর্তনের অনুরোধের অর্থ এই নয় যে কোনো ক্ষতিকর GHES বাইনারি বিতরণ করা হয়েছিল।

GitHub 18 মে সোমবার থেকে মঙ্গলবার পর্যন্ত গুরুত্বপূর্ণ সিক্রেটগুলো পরিবর্তন করে, সর্বাধিক প্রভাব ফেলতে পারে এমন ক্রেডেনশিয়ালগুলোকে অগ্রাধিকার দিয়ে। তারা লগ বিশ্লেষণ, সিক্রেট পরিবর্তন সঠিকভাবে হয়েছে কি না তা যাচাই এবং পরবর্তী কোনো কার্যকলাপ শনাক্ত করতে অবকাঠামো পর্যবেক্ষণ অব্যাহত রাখে। 26 মে প্রকাশিত একটি হালনাগাদে জানানো হয়, যেসব রিপোজিটরিতে আক্রমণ হয়েছে সেগুলো বিবেচনায় নিয়ে অতিরিক্ত সতর্কতা হিসেবে GitHub Enterprise Server-এর সাইনিং কী-ও পরিবর্তন করা হচ্ছে।

ম্যানুয়ালি শুরু করা কোনো আপডেটের সময় GHES সাইনিং কী যাচাই করে যে বাইনারিটির উৎস GitHub। নতুন পাবলিক কী ইনস্টল না করলে ভবিষ্যতের প্যাচ ও রিলিজের বৈধতা যাচাই বাধাগ্রস্ত হতে পারে। তবে GitHub তাদের হোস্ট করা বিদ্যমান বাইনারিগুলো বিকৃত হওয়ার কোনো ঘটনা জানায়নি।

ঘটনার তারিখ নির্ধারণ করা হয়েছে প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে। যাচাই করা ঘটনাটি হলো ক্ষতিকর কোডযুক্ত Nx Console এক্সটেনশনের মাধ্যমে এন্ডপয়েন্টে প্রবেশ এবং GitHub-এর প্রায় 3,800 অভ্যন্তরীণ রিপোজিটরি থেকে তথ্য বাইরে সরিয়ে নেওয়া। প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না।

পাঠক হিসেবে আপনি অভ্যন্তরীণ রিপোজিটরির তথ্য এবং এসব রিপোজিটরিতে সম্ভবত থাকা গ্রাহক সহায়তা-সংক্রান্ত কথোপকথনের অংশবিশেষকে নিশ্চিত তথ্যের শ্রেণি হিসেবে বিবেচনা করবেন। গ্রাহকদের নিজস্ব অর্গানাইজেশন ও রিপোজিটরি কিংবা GitHub Enterprise Cloud প্রভাবিত হওয়ার কোনো প্রমাণ নেই। পূর্ণাঙ্গ তদন্ত প্রতিবেদন বা অবহিত করা ব্যক্তিদের মোট সংখ্যা প্রকাশিত হলে রেকর্ডটি হালনাগাদ করা যেতে পারে; বর্তমানে শূন্য দেখানোর অর্থ হলো, ব্যক্তির সংখ্যা অজানা।