GitHub opet provaljen,poharano 3.800 repozitorija!GitHub je 20. svibnja 2026. potvrdio ono što je hakerska skupina TeamPCP objavila dan ranije na darkweb forumu Breached: pristupili su otprilike 3.800 internih repozitorija platforme i iz njih izvukli izvorni kod i interne datoteke.Istraga je u tijeku, ali osnovno je poznato. Ulazna točka bio je jedan zaposlenik i zaražena ekstenzija za Visual Studio Code. GitHub je uklonio zaraženu ekstenziju, izolirao uređaj zaposlenika i odmah pokrenuo istragu. Sve to zvuči PR-ovski uredno i profesionalno, ali ono što ne zvuči dobro jest kako je moguće da je jedna ekstenzija bila dovoljna da napadači uđu u infrastrukturu platforme na kojoj živi kod pola programerskog planeta.TeamPCP, poznata i pod oznakom UNC6780, prethodno je kompromitirala Aquin Trivy security scanner, CheckMarxov KICS, LiteLLM biblioteku, Telnyx SDK, TanStack i MistralAI. Povezuje ih se i s napadima na PyPI, NPM i Docker, kao i s kampanjom koja je pogodila dvoje zaposlenika OpenAI. Ne izmišljaju puno kako ući, napadaju alate koje programeri koriste svaki dan, ne sustave koje IT čuva kao Alibabinu pećinu. Napad automatiziraju malwareom koji se širi kroz zaražene razvojne pakete.Na forumu Breached, TeamPCP ponudio je ukradene podatke za minimalno 50.000 dolara. Uz ponudu su napisali da ovo nije otkupnina, da ne namjeravaju ucjenjivati GitHub, nego da traže jednog kupca i da će, ako se kupac ne nađe, podatke objaviti besplatno. Ubrzo se pojavila ponuda od 95.000 dolara.Ovaj incident nije jedini koji je pogodio GitHub u posljednje vrijeme. Tri tjedna ranije, istraživači iz Wiza objavili su CVE-2026-3854, kritičnu ranjivost koja je potencijalno izložila milijune repozitorija. Ranjivost je bila dovoljno jednostavna da je svaki autentificirani korisnik mogao izvršiti proizvoljne naredbe na GitHubovim backend serverima jednom standardnom git push komandom. Wiz je ranjivost prijavio, GitHub je zakrpao za manje od dva sata i nema dokaza o zlouporabi. Tjedan dana prije ovog upada, Grafana Labs potvrdila je krađu GitHub tokena u pokušaju iznude.Link 🔗 u komentaru👇