Minacce · 5 ore fa

Un token rubato apre ogni repository che può raggiungere

Wiz ha rilevato Gheist, una campagna che ha piantato oltre 13.500 branch in più di 850 account GitHub, compresi repository privati e ambienti enterprise. I controlli recenti di GitHub hanno bloccato lo sfruttamento nei repository pubblici, ma Wiz ha osservato attività riuscite negli ambienti privati e aziendali.

I workflow inseriti cercano di stampare i segreti nei log. GitHub li maschera solo se compaiono esattamente nella forma originale: modificandone la rappresentazione prima di stamparli, il valore resta visibile. La campagna recupera poi i log tramite l’API di GitHub, senza usare un dominio esterno per sottrarre i dati.

Il perimetro esposto dipende quindi dai permessi del token rubato, non dai soli controlli sui repository pubblici. Finché un token raggiunge repository privati o aziendali, i workflow possono esporre anche credenziali di produzione senza generare traffico verso infrastrutture esterne.

Cronologia

Fonti

1 fonte che coprono questa storia

Part of the PlainSec briefing for 2026-10-25

Editions

Storie correlate