Apa yang berlaku
Pada Mei 2026, GitHub mengesahkan ia telah diceroboh. Pada 19 Mei, kumpulan penjenayah TeamPCP mengumumkan di forum kebocoran (Breached) bahawa ia menjual kod sumber dalaman dan data organisasi GitHub, kira-kira "~4,000 repositori kod peribadi", dengan bidaan minimum AS$50,000. Kumpulan itu mengugut untuk membocorkan semuanya secara percuma jika tiada pembeli.
Pada hari yang sama, GitHub berkata ia sedang menyiasat akses tanpa kebenaran ke repositori dalamannya. Pada 20 Mei, ia mengesahkan insiden itu dalam hantaran di akaun rasmi X:
"Penilaian semasa kami ialah aktiviti ini hanya melibatkan pengeluaran repositori dalaman GitHub. Dakwaan penyerang tentang ~3,800 repositori secara umumnya selaras dengan siasatan kami setakat ini."
Bagaimana penyerang masuk
Pintu masuknya ialah komputer seorang pekerja GitHub yang memasang sambungan VS Code yang tercemar. Pada 21 Mei, sambungan itu didedahkan sebagai Nx Console, alat sah yang popular. Versi berniat jahat (18.95.0, dijejak sebagai CVE-2026-48027) berada di Visual Studio Marketplace selama kira-kira 18 minit. Itu sudah cukup.
Menurut nasihat keselamatan Nx Console sendiri, akaun seorang pembangun projek itu telah pun dikompromi dalam serangan rantaian bekalan lain, insiden TanStack, sebahagian daripada kempen "Mini Shai-Hulud". Dengan kelayakan yang dicuri, penyerang menjalankan workflow dalam repositori Nx Console dan menerbitkan versi yang diubah suai.
Tindak balas GitHub
- membuang versi berniat jahat dan mengasingkan peranti yang terjejas;
- menukar rahsia kritikal semalaman, bermula dengan kelayakan berimpak tinggi;
- menyatakan tiada bukti kesan terhadap data pelanggan, repositori pelanggan atau sistem produksi;
- berjanji menerbitkan laporan penuh selepas siasatan selesai.
Kempen yang jauh lebih besar
GitHub ialah mangsa paling terkenal dalam gelombang yang lebih luas. Menurut Tenable, kempen Mini Shai-Hulud mengkompromi lebih 170 pakej di npm dan PyPI, dengan jumlah lebih 518 juta muat turun mingguan. OX Security mengira sekurang-kurangnya 400 repositori GitHub dicipta untuk menyimpan kelayakan yang dicuri. TeamPCP telah menyerang ekosistem sumber terbuka selama berbulan-bulan, dan Google turut menyenaraikannya (sebagai UNC6780) antara kumpulan yang menyasarkan persekitaran AI dan pembangunan.
Nota: sesetengah sumber menyatakan pencerobohan berlaku pada Jun 2026. Tarikh yang betul, menurut GitHub dan media keselamatan, ialah 19–21 Mei 2026.
Pengajaran untuk semua syarikat
- Sambungan IDE ialah perisian dengan akses penuh: simpan senarai dibenarkan dan sekat yang lain.
- Kemas kini automatik tidak sentiasa selamat: 18 minit sudah cukup. Pertimbangkan menangguhkan kemas kini sambungan dan pakej beberapa hari.
- Lindungi akaun penyelenggara dengan kunci keselamatan dan token jangka pendek.
- Asingkan mesin pembangunan daripada rahsia produksi.
- Sediakan pelan menukar rahsia dengan pantas, seperti yang dilakukan GitHub.
Sumber
- Help Net Security (20/05/2026): https://www.helpnetsecurity.com/2026/05/20/github-breached-teampcp/
- BleepingComputer: https://www.bleepingcomputer.com/news/security/github-investigates-internal-repositories-breach-claimed-by-teampcp/
- Dark Reading: https://www.darkreading.com/application-security/github-confirms-breach-4k-internal-repos-stolen
- Tenable, FAQ Mini Shai-Hulud: https://www.tenable.com/blog/mini-shai-hulud-frequently-asked-questions
Mahu menyemak keselamatan rantaian pembangunan anda, daripada sambungan hingga pakej? KGA IT menawarkan konsultasi percuma: kga-it.com.