Vazamento de dados dos repositórios internos do GitHub em 2026
O vazamento de dados dos repositórios internos do GitHub em 2026 começou quando um funcionário do GitHub instalou uma versão adulterada da extensão Nx Console para Visual Studio Code, criada por meio do ataque à cadeia de suprimentos do TanStack.
Esta abrangência reflete identificadores únicos de e-mail fornecidos para ajudar a notificar vítimas de malware; não estabelece um total de vítimas individuais ou de usuários.
Revise a segurança dos seus dispositivos e contas
Verifique se seu identificador de e-mail aparece nesta exposição por malware
Verificar meu e-mailTipos de dados expostos
2- Dados de repositórios internos
- Trechos de interações com o suporte ao cliente
Sobre este registro
Isso levou à exfiltração de cerca de 3.800 repositórios internos da empresa. O GitHub informou que detectou e conteve o comprometimento do dispositivo do funcionário em 18 de maio de 2026 e iniciou imediatamente a resposta ao incidente.
A avaliação oficial do GitHub limita a atividade à exfiltração de repositórios internos. Alguns desses repositórios podem conter informações provenientes de clientes, como trechos de interações com o suporte. A empresa, porém, não encontrou evidências de impacto sobre as empresas, organizações ou repositórios dos próprios clientes. A organização não publicou um total verificável de pessoas ou registros afetados. A ausência de uma contagem divulgada não significa que o incidente não tenha causado impacto; significa que as fontes públicas não fornecem um total confiável.
Como o incidente foi confirmado?
Uma atualização oficial de segurança de Alexis Wales, CISO do GitHub, confirma diretamente que uma extensão de terceiros adulterada para VS Code comprometeu o dispositivo de um funcionário e que repositórios internos do GitHub foram exfiltrados. A empresa afirmou que a alegação do atacante de aproximadamente 3.800 repositórios era compatível, em linhas gerais, com a investigação em andamento. Esse número se refere a repositórios, não a pessoas ou registros de clientes.
O BleepingComputer noticiou a confirmação do GitHub e o alcance de cerca de 3.800 repositórios em 20 de maio; uma reportagem de acompanhamento, publicada em 21 de maio, informou que a empresa havia identificado a extensão maliciosa como Nx Console. As reportagens corroboram de forma independente o comprometimento do dispositivo do funcionário, a exfiltração de repositórios internos, a delimitação do impacto sobre os clientes e a rotação de segredos descritos no blog do GitHub. Alegações adicionais feitas no anúncio de venda do responsável pelo ataque não são tratadas como parte do alcance confirmado.
Como funcionou a cadeia de ataque do Nx Console?
Segundo a equipe do Nx, o ataque à cadeia de suprimentos do TanStack vazou as credenciais de GitHub CLI de um desenvolvedor e permitiu que o atacante executasse fluxos de trabalho no repositório do Nx. Em seguida, uma cópia maliciosa da versão 18.95.0 do Nx Console foi publicada por um breve período no Visual Studio Marketplace e no Open VSX. Sua carga maliciosa foi projetada para coletar, nas máquinas de desenvolvedores, segredos de serviços como GitHub, npm, AWS, Kubernetes, GCP e Docker.
A instalação da extensão adulterada por um funcionário do GitHub levou ao comprometimento do dispositivo de trabalho e do acesso ao GitHub a partir dele. O GitHub removeu a versão maliciosa do marketplace, isolou o dispositivo e começou a rotacionar os segredos críticos por ordem de impacto. A cadeia de ataque teve origem em uma ferramenta de desenvolvimento aparentemente confiável que chegou ao dispositivo de um funcionário, e não em uma vulnerabilidade geral de autenticação na plataforma GitHub.
Quais dados foram exfiltrados?
A categoria de dados confirmada pela empresa é a de informações armazenadas nos repositórios corporativos internos do GitHub. Cerca de 3.800 repositórios é o alcance técnico que o GitHub declarou ser compatível, em linhas gerais, com sua investigação; a empresa não publicou um inventário de cada repositório, uma contagem de arquivos únicos nem o volume total de dados.
O GitHub afirmou especificamente que alguns repositórios internos contêm informações provenientes de clientes, incluindo trechos de interações com o suporte. Isso não prova que todos os repositórios continham dados de clientes nem que todos os clientes que utilizaram o suporte foram afetados. A empresa afirmou que usaria os canais estabelecidos de resposta a incidentes e notificação caso fosse identificado algum impacto, mas não publicou um total de pessoas, clientes ou registros de suporte.
Os repositórios dos clientes ou o GitHub Cloud foram afetados?
A atualização oficial não encontrou evidências de impacto sobre as empresas, organizações e repositórios dos próprios clientes hospedados no GitHub. A exfiltração confirmada se limita aos repositórios internos do GitHub. Portanto, as centenas de milhões de desenvolvedores, os milhões de organizações e o número total de repositórios da plataforma não podem ser convertidos em um total de afetados pelo vazamento.
Nenhuma ação específica relacionada ao incidente foi exigida dos clientes do GitHub Enterprise Cloud. Os administradores do GitHub Enterprise Server foram orientados a atualizar a chave pública de assinatura GPG em suas instâncias depois que a empresa a rotacionou por precaução. O GitHub afirmou que todos os binários que hospedava eram válidos; o pedido de atualização da chave não significa que um binário malicioso do GHES tenha sido distribuído.
Como as chaves de assinatura e os segredos foram tratados?
O GitHub rotacionou segredos críticos entre segunda-feira, 18 de maio, e terça-feira, priorizando as credenciais de maior impacto. A empresa continuou analisando logs, validando as rotações e monitorando a infraestrutura em busca de atividades subsequentes. Uma atualização de 26 de maio informou que a chave de assinatura do GitHub Enterprise Server também estava sendo substituída por precaução adicional, com base nos repositórios que haviam sido atacados.
A chave de assinatura do GHES valida o GitHub como a origem de um binário durante uma atualização iniciada manualmente. A falta de instalação da nova chave pública poderia impedir a verificação de futuras correções e versões, mas o GitHub não relatou corrupção dos binários já hospedados.
Como você deve interpretar este registro do LeakData?
A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas. O evento verificado é o acesso ao dispositivo por meio da extensão Nx Console adulterada e a exfiltração de cerca de 3.800 repositórios internos do GitHub. A organização não publicou um total verificável de pessoas ou registros afetados. A ausência de uma contagem divulgada não significa que o incidente não tenha causado impacto; significa que as fontes públicas não fornecem um total confiável.
Você deve considerar os dados dos repositórios internos e os possíveis trechos de interações de clientes com o suporte presentes nesses repositórios como categorias de dados confirmadas. Não há evidências de impacto sobre as organizações e os repositórios dos próprios clientes nem sobre o GitHub Enterprise Cloud. O registro poderá ser atualizado se for publicado um relatório completo da investigação ou um total de notificações; o valor zero atual significa que o número de pessoas é desconhecido.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
