Утечка данных из внутренних репозиториев GitHub в 2026 году

В официальном сообщении о безопасности директор GitHub по информационной безопасности Alexis Wales прямо подтверждает, что заражённое стороннее расширение VS Code привело к компрометации устройства сотрудника и что данные из внутренних репозиториев GitHub были выгружены. Компания заявила, что утверждение злоумышленника о примерно 3 800 репозиториях в целом согласуется с результатами продолжающегося расследования. Это число отражает количество репозиториев, а не людей или клиентских записей.

20 мая BleepingComputer сообщило о подтверждении инцидента со стороны GitHub и о том, что его масштаб составил примерно 3 800 репозиториев. В последующей публикации от 21 мая издание сообщило, что компания идентифицировала вредоносное расширение как Nx Console. Эти публикации независимо подтверждают изложенные в блоге GitHub сведения о компрометации устройства сотрудника, выгрузке данных из внутренних репозиториев, границах воздействия на клиентов и ротации секретов. Дополнительные утверждения из объявления злоумышленника о продаже данных не считаются подтверждёнными сведениями о масштабе инцидента.

По данным команды Nx, атака на цепочку поставок TanStack привела к утечке учётных данных разработчика для GitHub CLI и позволила злоумышленнику запускать рабочие процессы в репозитории Nx. Затем вредоносная копия Nx Console версии 18.95.0 была на короткое время опубликована в Visual Studio Marketplace и Open VSX. Её вредоносный код был предназначен для сбора с компьютеров разработчиков секретов для различных сервисов, включая GitHub, npm, AWS, Kubernetes, GCP и Docker.

Установка заражённого расширения сотрудником GitHub привела к компрометации рабочего устройства и доступных с него средств доступа к GitHub. GitHub удалила вредоносную версию из каталога расширений, изолировала устройство и начала ротацию критически важных секретов, определяя приоритет по масштабу возможных последствий. Началом этой цепочки стало попадание на устройство сотрудника инструмента разработчика, который выглядел заслуживающим доверия, а не общая уязвимость аутентификации на платформе GitHub.

Подтверждённая компанией категория данных, информация, хранившаяся во внутренних корпоративных репозиториях GitHub. Примерно 3 800 репозиториев, это технический масштаб инцидента, который, по словам GitHub, в целом согласуется с результатами расследования. Компания не опубликовала перечень отдельных репозиториев, число уникальных файлов или общий объём данных.

GitHub отдельно указала, что некоторые внутренние репозитории содержат информацию, полученную от клиентов, в том числе фрагменты переписки со службой поддержки. Это не доказывает, что каждый репозиторий содержал клиентские данные или что были затронуты все клиенты, обращавшиеся в поддержку. Компания заявила, что при выявлении последствий будет использовать действующие каналы реагирования на инциденты и уведомления, но не опубликовала общее число затронутых людей, клиентов или записей службы поддержки.

В официальном сообщении указано, что свидетельств воздействия на собственные корпоративные аккаунты, организации и репозитории клиентов, размещённые на GitHub, не обнаружено. Подтверждённая выгрузка данных ограничивается внутренними репозиториями GitHub. Поэтому сотни миллионов разработчиков, миллионы организаций и общее число репозиториев на платформе нельзя использовать для подсчёта масштаба утечки.

Клиентам GitHub Enterprise Cloud не требовалось предпринимать какие-либо действия в связи с этим инцидентом. Администраторов GitHub Enterprise Server попросили обновить открытый ключ GPG для проверки подписи в своих экземплярах системы после того, как компания провела его ротацию в качестве меры предосторожности. GitHub заявила, что все размещённые ею бинарные файлы были подлинными. Запрос на обновление ключа не означает, что распространялся вредоносный бинарный файл GHES.

GitHub проводила ротацию критически важных секретов с понедельника, 18 мая, до вторника, отдавая приоритет учётным данным с наибольшим потенциальным влиянием. Компания продолжала анализировать журналы, проверять результаты ротации и отслеживать дальнейшую активность в инфраструктуре. В обновлении от 26 мая сообщалось, что ключ подписи GitHub Enterprise Server также заменяется в качестве дополнительной меры предосторожности с учётом того, какие репозитории подверглись атаке.

Ключ подписи GHES позволяет подтвердить, что источником бинарного файла является GitHub, при обновлении, запущенном вручную. Если не установить новый открытый ключ, проверка будущих исправлений и выпусков может оказаться невозможной. При этом GitHub не сообщала о нарушении целостности уже размещённых бинарных файлов.

Дата инцидента определяется по самой ранней технической активности, которую можно проверить по общедоступным источникам. Подтверждённое событие, получение доступа к устройству через заражённое расширение Nx Console и выгрузка данных примерно из 3 800 внутренних репозиториев GitHub. Компания не опубликовала поддающееся проверке общее число затронутых людей или записей. Отсутствие опубликованных данных о количестве не означает, что инцидент не имел последствий: это означает, что общедоступные источники не позволяют достоверно определить общее число.

Вам следует рассматривать данные внутренних репозиториев и возможные фрагменты переписки клиентов со службой поддержки в этих репозиториях как подтверждённые категории данных. Свидетельств воздействия на собственные организации и репозитории клиентов или на GitHub Enterprise Cloud нет. Запись может быть обновлена, если будет опубликован полный отчёт о расследовании или общее число уведомлённых лиц. Текущее нулевое значение означает, что число затронутых людей неизвестно.