GitHub מאשרת: מאגרי קוד פנימיים הועתקו דרך גרסה מורעלת של Nx Console
ב-20 במאי 2026 אישרה GitHub שעובד שלה קיבל תוסף VS Code מורעל, Nx Console 18.95.0. התוקפים הוציאו מאגרים פנימיים. השרשרת התחילה ב-11 במאי בפריצה לחבילות TanStack ב-npm.
TL;DR בקצרה
- GitHub אישרה ב-20 במאי שמחשב של עובד קיבל את Nx Console 18.95.0 המורעל. לדבריה, טענת התוקפים על כ-3,800 מאגרים עקבית בכיוונה עם החקירה.
- הגרסה המורעלת הייתה זמינה ב-18 במאי בין 12:30 ל-13:09 UTC, ועלתה באמצעות אסימון GitHub שנגנב ממתחזק של Nx.
- השרשרת התחילה ב-11 במאי בפריצה לחבילות TanStack, ופגעה גם ב-Grafana Labs.
- מי שהתקין את 18.95.0 צריך להחליף כל אסימון ומפתח שהיה זמין במחשב, ולעדכן לגרסה 18.100.0 ומעלה.
GitHub אישרה ב-20 במאי 2026 שעובד שלה קיבל גרסה מורעלת של Nx Console. זהו תוסף לעורך הקוד VS Code. דרך המחשב של העובד הוציאו התוקפים מאגרי קוד פנימיים של החברה. התוקפים טוענים שמדובר בכ-3,800 מאגרים, ו-GitHub מציינת שהמספר עקבי בכיוונו הכללי עם החקירה שלה. לדבריה אין עדות לפגיעה במידע של לקוחות מחוץ למאגרים הפנימיים.
איך Nx Console הגיע למחשב של עובד GitHub
הגרסה המורעלת היא 18.95.0. היא עלתה ל-Visual Studio Marketplace ול-Open VSX ב-18 במאי, בין 12:30 ל-13:09 לפי שעון UTC. מי שהפעיל עדכון אוטומטי של תוספים קיבל אותה בלי שום פעולה. עובד GitHub היה אחד מהם.
לפי הדוח שפרסם צוות Nx ב-21 במאי, התוקף פרסם את הגרסה בזהות של אחד המפתחים המרכזיים של Nx. את אסימון ההרשאה של GitHub CLI הוא גנב מאותו מפתח שבוע לפני כן. הגרסה עברה את הבדיקות האוטומטיות של Microsoft.
הסיפור התחיל ב-11 במאי, בפריצה לחבילות TanStack ב-npm. התוקפים העלו 84 גרסאות זדוניות ל-42 חבילות. מפתח של Nx הריץ pnpm install בפרויקט חיצוני וקיבל אחת מהן. הקוד הזדוני גנב את האסימון שלו.
בפרויקט של Nx הוגדרה השהיה של שבעה ימים לגרסאות חדשות, אבל pnpm בגרסה 10.14 התעלם מההגדרה בלי להתריע. תמיכה בה קיימת מגרסה 10.16 ומעלה.
מה הקוד הזדוני גונב, ואילו מחשבים קיבלו אותו
לפי Nx, התוסף המורעל חיפש סודות על המחשב. ברשימה אסימונים של GitHub ושל npm, מפתחות SSH, גישה ל-AWS, אסימונים של Kubernetes ושל Vault, וקובצי env. הוא גם גנב סשנים של 1Password. את המידע הוא שלח ב-HTTPS, דרך ה-API של GitHub ובערוץ DNS.
ספירת הפגיעה שנויה במחלוקת. לפי נתוני Microsoft היו 28 התקנות ב-Visual Studio Marketplace. ב-Open VSX נרשמו 41 הורדות מ-21 כתובות IP. הנתונים של Nx עצמה מדברים על כ-6,000 הפעלות של התוסף, ו-Nx מעריכה שהמספר האמיתי גבוה מהנתון של Microsoft.
התקפה כזו מפחידה כי המחשב של מפתח מחזיק את המפתחות לכל תשתית הקוד. אסימון אחד שנגנב פותח גישה למאגרים ולצנרת הפרסום, ומשם לאלפי משתמשים. לכן GitHub החליפה את הסודות הקריטיים ב-18 במאי ובמהלך ה-19 במאי. את האסימונים בעלי ההשפעה הגדולה ביותר היא החליפה ראשונים.
לדברי GitHub, חלק מהמאגרים הפנימיים מכילים מידע של לקוחות, למשל קטעים משיחות תמיכה. אם יתברר שנגרם נזק ללקוחות, החברה תיידע אותם. נכון ל-20 במאי אין לה עדות כזו.
קבוצה בשם TeamPCP טענה לאחריות. לפי BleepingComputer היא כתבה ב-19 במאי בפורום Breached שיש לה כ-4,000 מאגרים פרטיים, וביקשה לפחות 50,000 דולר. GitHub עדיין לא ייחסה את הפריצה לקבוצה כלשהי.
אותה שרשרת פגעה גם ב-Grafana Labs. לפי החברה, היא זיהתה את הפעילות ב-11 במאי והחליפה אסימונים רבים. אסימון אחד נשאר, והתוקפים הורידו דרכו את קוד המקור. ב-16 במאי הגיעה אליה דרישה לכופר, ו-Grafana סירבה לשלם. לדבריה, התוקפים לא הגיעו למערכות הייצור או ל-Grafana Cloud.
מה לבדוק אם התקנתם את Nx Console
הגרסאות הבטוחות הן 18.100.0 ומעלה. Nx מציינת שרק 18.95.0 מורעלת, ושהחבילה nx עצמה ב-npm נשארה נקייה. מי שהיה לו Nx Console עם עדכון אוטומטי באותו חלון זמן צריך להניח שהתוקפים השתלטו על המחשב שלו. זה נכון גם אם המספרים של Microsoft נמוכים.
מה קרה מאז: ב-26 במאי עדכנה GitHub את הפוסט שלה. היא מחליפה כצעד זהירות גם את מפתח החתימה של GitHub Enterprise Server. מנהלי GHES חייבים להחליף את מפתחות ה-GPG הציבוריים, אחרת שדרוגי גרסה ייכשלו באימות. לקוחות GitHub Enterprise Cloud אינם צריכים לעשות דבר. GitHub הבטיחה לפרסם דוח מלא בסוף החקירה.
מה זה אומר עבורכם
- בדקו גרסה: הריצו
code --list-extensions --show-versionsוחפשו את angular-console. אם מותקנת 18.95.0, עדכנו ל-18.100.0 ומעלה. - החליפו סודות: אם היה לכם עדכון אוטומטי פעיל ב-18 במאי בין 12:30 ל-13:09 UTC, החליפו אסימונים ומפתחות של GitHub, npm, SSH, הענן ו-env. Nx ממליצה גם לשקול התקנה מחדש של המחשב.
- בדקו את pnpm: השהיית גרסאות חדשות עובדת רק מ-pnpm 10.16. קבעו את הגרסה בפרויקט וודאו אותה ב-CI.
- צמצמו אסימונים על מחשבי פיתוח: Nx אסרה על מפתחיה להשתמש ישירות ב-gh CLI והעבירה את הגישה למנהל סודות.
- מנהלי GHES: החליפו את מפתחות ה-GPG לפי ההוראות של GitHub.
מקורות והרחבה
- Investigating unauthorized access to GitHub's internal repositoriesGitHub
- Nx Console v18.95.0 postmortemNx
- GitHub confirms breach of 3,800 repos via malicious VSCode extensionBleepingComputer
- Grafana Labs security update: latest on TanStack npm supply chain ransomware incidentGrafana Labs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
