Ano ang nangyari
Noong Mayo 2026, kinumpirma ng GitHub na napasok ito. Noong Mayo 19, inanunsyo ng kriminal na grupong TeamPCP sa isang leak forum (Breached) na ibinebenta nito ang internal source code at organization data ng GitHub, mga "~4,000 repo ng private code," na may minimum bid na $50,000. Nagbanta ang grupo na ilalabas ang lahat nang libre kung walang bibili.
Sa parehong araw, sinabi ng GitHub na iniimbestigahan nito ang unauthorized access sa mga internal repository nito. Noong Mayo 20, kinumpirma nito ang insidente sa mga post sa opisyal na X account:
"Ang kasalukuyan naming pagsusuri ay internal repository lang ng GitHub ang nailabas. Ang pahayag ng umaatake na ~3,800 repository ay halos tugma sa aming imbestigasyon sa ngayon."
Paano nakapasok ang mga umaatake
Ang pinasukan ay ang computer ng isang empleyado ng GitHub na nag-install ng nilasong VS Code extension. Noong Mayo 21, nabunyag na ang extension ay ang Nx Console, isang lehitimo at sikat na tool. Ang malisyosong bersyon (18.95.0, naka-track bilang CVE-2026-48027) ay nasa Visual Studio Marketplace nang mga 18 minuto. Sapat na iyon.
Ayon sa sariling security advisory ng Nx Console, na-compromise na ang account ng isang developer ng proyekto sa isa pang supply-chain attack, ang insidente sa TanStack, bahagi ng kampanyang "Mini Shai-Hulud." Gamit ang mga ninakaw na credential, nagpatakbo ang mga umaatake ng workflow sa repository ng Nx Console at inilathala ang binagong bersyon.
Ang tugon ng GitHub
- tinanggal ang malisyosong bersyon at inihiwalay ang apektadong device;
- pinalitan ang mga kritikal na sikreto magdamag, inuna ang mga credential na may pinakamalaking epekto;
- sinabing walang ebidensiya ng epekto sa data ng customer, repository ng customer o production system;
- nangakong maglalabas ng buong ulat pagkatapos ng imbestigasyon.
Mas malaking kampanya
Ang GitHub ang pinakakilalang biktima ng mas malawak na alon. Ayon sa Tenable, nakompromiso ng kampanyang Mini Shai-Hulud ang mahigit 170 package sa npm at PyPI, na may kabuuang mahigit 518 milyong lingguhang download. Nagbilang ang OX Security ng hindi bababa sa 400 GitHub repository na ginawa para itago ang mga ninakaw na credential. Ilang buwan nang inaatake ng TeamPCP ang open-source ecosystem, at inililista rin ito ng Google (bilang UNC6780) sa mga grupong tumatarget sa AI at development environment.
Paalala: may ilang source na nagsasabing Hunyo 2026 ang breach. Ang tamang petsa, ayon sa GitHub at sa security press, ay Mayo 19–21, 2026.
Mga aral para sa anumang kumpanya
- Software na may buong access ang mga IDE extension: gumawa ng allowlist at harangan ang iba.
- Hindi laging ligtas ang auto-update: sapat na ang 18 minuto. Isaalang-alang ang pag-antala ng update ng extension at package nang ilang araw.
- Protektahan ang mga maintainer account gamit ang security key at short-lived token.
- Ihiwalay ang mga development machine sa mga production secret.
- Magkaroon ng plano para mabilis magpalit ng sikreto, gaya ng ginawa ng GitHub.
Mga pinagmulan
- Help Net Security (2026-05-20): https://www.helpnetsecurity.com/2026/05/20/github-breached-teampcp/
- BleepingComputer: https://www.bleepingcomputer.com/news/security/github-investigates-internal-repositories-breach-claimed-by-teampcp/
- Dark Reading: https://www.darkreading.com/application-security/github-confirms-breach-4k-internal-repos-stolen
- Tenable, Mini Shai-Hulud FAQ: https://www.tenable.com/blog/mini-shai-hulud-frequently-asked-questions
Gusto mo bang suriin ang seguridad ng iyong development pipeline, mula extension hanggang package? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.