2026 年 Checkmarx GitHub 供应链数据泄露事件
2026 年 Checkmarx GitHub 供应链数据泄露事件是一起关联性安全事件。攻击者利用在针对 Trivy 安全扫描工具的攻击中获取的凭据，未经授权访问 Checkmarx 的 GitHub 仓库，窃取并外传仓库数据，并恶意修改了部分通过外部渠道分发的开发者软件制品。根据 Checkmarx 已完成的调查，未经授权的访问发生于2026年3月19日，公司于3月23日发现事件，数据则于3月30日被窃取并外传。
此范围反映为协助通知恶意软件受害者而提供的、去重后的邮箱标识符数量，不能据此确定受害者人数或用户总数。
暴露的数据类型
1- GitHub repository data
关于此记录
公司确认，一个网络犯罪团伙于4月25日在暗网上发布了与 Checkmarx 有关的数据，且这些数据来自其 GitHub 仓库。公司未公布具体的仓库内容类型，也未公布去重后的涉及人数。该组织没有公布可核实的受影响人数或数据记录总数。未披露数量并不意味着事件没有造成影响，而是说明公开来源未提供可靠的总数。
事件是如何得到确认的？
Checkmarx 于7月6日更新的事件汇总页面表示，在 Mandiant 支持下开展的调查及安全加固工作均已完成，事件已得到全面控制。其官方时间线将初始访问、恶意制品、3月30日的数据窃取外传、4月25日的数据发布以及后续响应措施直接联系起来，明确这些均属于同一事件。
BleepingComputer 于4月28日独立报道，Checkmarx 已确认所发布的数据属于该公司，且来自一个私有 GitHub 仓库。报道称，该媒体看到了一个 96 GB 的数据包，但并未检查其内容。
攻击者如何通过 Trivy 获得访问权限？
据 Checkmarx 称，事件源于被归因于 TeamPCP 的 Trivy 供应链攻击。3月19日，恶意 Trivy 组件收集了下游用户的凭据，攻击者利用这些凭据进入 Checkmarx 的 GitHub 环境。公司于3月23日发现了未经授权的访问，但已泄露或被缓存的凭据使攻击者得以继续开展后续活动。
获得 GitHub 访问权限后，攻击者得以操作仓库，并通过部分外部分发渠道发布恶意代码。Checkmarx 撤销了发布权限、轮换了凭据、阻断了对攻击者基础设施的出站访问，并锁定了受影响的仓库。公司通知了执法部门和相关主管机构，并聘请 Mandiant 提供数字取证支持。
哪些数据被窃取并外传？
已确认的数据类别是从 Checkmarx GitHub 仓库窃取并外传的仓库数据。公司未公开提供详细清单，说明其中哪些内容属于源代码、配置、文档、凭据或其他文件。3月30日的数据窃取外传和4月25日的数据发布均已得到确认，但最终官方更新未说明数据包大小，也未明确其内部文件类别。
Checkmarx 表示，其 GitHub 仓库与客户生产环境相互独立，按照常规做法，客户数据不会存储在这些仓库中。Mandiant 已完成的审查确认，攻击者未访问 Checkmarx One SaaS，AWS 生产环境也未受到影响。因此，客户源代码、扫描结果和 SaaS 数据不属于本记录中的数据类别。
哪些开发者软件制品受到影响？
官方摘要表示，在3月这一轮攻击中，恶意 GitHub Actions 以及 Open VSX 上的恶意 VS Code 扩展被发布。4月22日的第二轮攻击影响了已明确列出的 Checkmarx KICS Docker 镜像版本、Checkmarx AST GitHub Action，以及 VS Code 和 Open VSX 上的 AST Results 和 Developer Assist 扩展。此前发布且已知安全的版本未被覆盖，风险仅限于明确界定的发布时段。
5月9日，一个外部服务账户向 Jenkins Marketplace 发布了经过修改的 Checkmarx Jenkins AST 插件；公司提供了无恶意修改的版本及其哈希值。这些供应链影响意味着，运行过受影响制品的第三方开发者环境中的令牌、密钥、配置文件或其他机密信息可能已被窃取。Checkmarx 未公布经核实的下载总量，也未公布实际遭到入侵的下游环境总数。
生产环境和客户环境是否受到影响？
Mandiant 的最终调查结果表明，攻击者的活动范围仅限于 Checkmarx GitHub 环境、少量受感染的工作站，以及对 Checkmarx AWS 凭据的初步侦察。AWS 生产环境未受影响，攻击者未访问 Checkmarx One SaaS，GitHub 环境中的恶意代码也已移除。在 Checkmarx 内部最后一次观测到的攻击者活动发生于4月22日。
CxSAST 本地部署产品及其安装程序未遭篡改；风险涉及通过外部渠道分发的组件。在受影响制品的发布时段内执行过该制品的组织，仍需检查自身环境、排查入侵迹象，并在怀疑遭到入侵时轮换敏感凭据。本记录确认了 Checkmarx 的企业数据泄露事件，但并不声称所有 Checkmarx 客户都必然遭遇了数据泄露。
应如何理解这条 LeakData 记录？
事件日期依据的是公开来源中可核实的最早技术活动。已确认被窃取的数据是 GitHub 仓库数据。恶意开发者软件制品被列为同一初始访问所引发的下游供应链影响。
该组织没有公布可核实的受影响人数或数据记录总数。未披露数量并不意味着事件没有造成影响，而是说明公开来源未提供可靠的总数。独立报道提到了将事件归因于 LAPSUS$ 的说法和 96 GB 的数据包大小，但 Checkmarx 并未将这些信息作为确定的数据类别或人数总数予以采纳，因此本记录的数值字段不包含这些信息。客户生产数据和 Checkmarx One SaaS 仍不在已确认的影响范围内。
