Minacce · 3 ore fa
GitGuardian ha osservato l’8 e 9 ottobre 2026 una nuova ondata di GhostAction: circa 1.900 account GitHub compromessi hanno spinto workflow malevoli in oltre 30.000 repository e tentato di estrarre 3.174 secret.
La campagna non rompe GitHub. Entra con account legittimi di maintainer o token rubati, aggiunge una falsa automazione di sicurezza e usa GitHub Actions per leggere i secret già fidati durante la build. GitHub ha iniziato a bloccare l’esecuzione dei workflow malevoli dal 9 ottobre, così le ondate successive non hanno potuto esfiltrare segreti.
Il punto critico resta il riuso dei secret non ruotati. Dove quelle credenziali sono ancora valide, CI, cloud, package registry e API key possono continuare a riaprire l’accesso anche mesi dopo la prima compromissione.
1 fonte che coprono questa storia
GhostAction Compromises About 1,900 GitHub Accounts, Targets Over 30,000 Repositories
GhostAction targeted over 30,000 GitHub repositories using about 1,900 compromised accounts and tried to extract 3,174 secrets.
Part of the PlainSec briefing for 2026-10-15