30.000 repo GitHub sotto attacco via GitHub Actions
GitGuardian ha osservato l’8 e 9 ottobre 2026 una nuova ondata di GhostAction: circa 1.900 account GitHub compromessi hanno spinto workflow malevoli in oltre 30.000 repository e tentato di estrarre 3.174 secret.
La campagna non rompe GitHub. Entra con account legittimi di maintainer o token rubati, aggiunge una falsa automazione di sicurezza e usa GitHub Actions per leggere i secret già fidati durante la build. GitHub ha iniziato a bloccare l’esecuzione dei workflow malevoli dal 9 ottobre, così le ondate successive non hanno potuto esfiltrare segreti.
Il punto critico resta il riuso dei secret non ruotati. Dove quelle credenziali sono ancora valide, CI, cloud, package registry e API key possono continuare a riaprire l’accesso anche mesi dopo la prima compromissione.