Brecha de datos en los repositorios internos de GitHub de 2026

Una actualización oficial de seguridad de Alexis Wales, CISO de GitHub, confirma directamente que una extensión de terceros para VS Code manipulada maliciosamente comprometió el dispositivo de un empleado y que se exfiltraron repositorios internos de GitHub. La empresa afirmó que la cifra de aproximadamente 3 800 repositorios que alegaba el atacante coincidía, en términos generales, con su investigación en curso. Esa cifra corresponde a repositorios, no a personas ni a registros de clientes.

BleepingComputer informó el 20 de mayo de la confirmación de GitHub y del alcance aproximado de 3 800 repositorios; una noticia de seguimiento del 21 de mayo informó de que la empresa había identificado la extensión maliciosa como Nx Console. Estos informes corroboran de forma independiente el compromiso del dispositivo del empleado, la exfiltración de repositorios internos, los límites del impacto en los clientes y la rotación de secretos descritos en el blog de GitHub. Las afirmaciones adicionales incluidas en el anuncio de venta del atacante no se consideran parte del alcance confirmado.

Según el equipo de Nx, el ataque a la cadena de suministro de TanStack filtró las credenciales de GitHub CLI de un desarrollador y permitió al atacante ejecutar flujos de trabajo en el repositorio de Nx. Después se publicó brevemente una copia maliciosa de la versión 18.95.0 de Nx Console en Visual Studio Marketplace y Open VSX. Su código malicioso estaba diseñado para recopilar, desde los equipos de los desarrolladores, secretos de servicios como GitHub, npm, AWS, Kubernetes, GCP y Docker.

La instalación de la extensión manipulada por parte de un empleado de GitHub comprometió el dispositivo de trabajo y su acceso a GitHub. GitHub retiró la versión maliciosa de la tienda de extensiones, aisló el dispositivo e inició la rotación de secretos críticos por orden de impacto. La cadena de ataque se originó cuando una herramienta de desarrollo de apariencia fiable llegó al dispositivo de un empleado, no por una vulnerabilidad general de autenticación en la plataforma GitHub.

La categoría de datos confirmada por la empresa es la información almacenada en los repositorios corporativos internos de GitHub. El alcance técnico de aproximadamente 3 800 repositorios es la cifra que GitHub consideró coherente, en términos generales, con su investigación; no publicó un inventario de cada repositorio, un recuento de archivos únicos ni el volumen total de datos.

GitHub afirmó expresamente que algunos repositorios internos contienen información procedente de clientes, incluidos extractos de interacciones con el servicio de soporte. Esto no demuestra que todos los repositorios contuvieran datos de clientes ni que todos los clientes del servicio de soporte se vieran afectados. La empresa indicó que utilizaría los canales establecidos de respuesta a incidentes y notificación si se identificaba algún impacto, pero no publicó un total de personas, clientes o registros de soporte.

En la actualización oficial se indicó que no se habían encontrado indicios de impacto en las empresas, organizaciones y repositorios de los propios clientes alojados en GitHub. La exfiltración confirmada se limita a los repositorios internos de GitHub. Por tanto, los cientos de millones de desarrolladores, los millones de organizaciones y el número total de repositorios de la plataforma no pueden utilizarse como total de afectados por la brecha.

No se requirió ninguna acción específica relacionada con el incidente a los clientes de GitHub Enterprise Cloud. Se pidió a los administradores de GitHub Enterprise Server que actualizaran la clave pública de firma GPG en sus instancias después de que la empresa la rotara como medida de precaución. GitHub afirmó que todos los binarios que alojaba eran válidos; la solicitud de rotación no significa que se hubiera distribuido un binario malicioso de GHES.

GitHub rotó los secretos críticos entre el lunes 18 de mayo y el martes, dando prioridad a las credenciales de mayor impacto. Continuó analizando registros, validando las rotaciones y supervisando la infraestructura para detectar actividad posterior. Una actualización del 26 de mayo indicó que también se estaba cambiando la clave de firma de GitHub Enterprise Server por extrema precaución, teniendo en cuenta los repositorios que habían sido atacados.

La clave de firma de GHES permite verificar que GitHub es el origen de un binario durante una actualización iniciada manualmente. No instalar la nueva clave pública podría impedir la verificación de futuros parches y versiones, pero GitHub no informó de que los binarios que ya alojaba hubieran sido alterados.

La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas. El hecho verificado es el acceso al dispositivo a través de la extensión Nx Console manipulada maliciosamente y la exfiltración de aproximadamente 3 800 repositorios internos de GitHub. La organización no publicó un total verificable de personas o registros afectados. Que no se haya divulgado una cifra no significa que el incidente no tuviera impacto, sino que las fuentes públicas no ofrecen un total fiable.

Quienes consulten este registro deben considerar como categorías de datos confirmadas los datos de los repositorios internos y los posibles extractos de interacciones de soporte con clientes contenidos en esos repositorios. No hay indicios de impacto en las organizaciones y repositorios de los propios clientes ni en GitHub Enterprise Cloud. El registro podrá actualizarse si se publica un informe completo de la investigación o el número total de notificaciones; el cero actual significa que se desconoce el número de personas.