GitHub Haberleri

GitHub ekosisteminde güvenlik açıkları ve altyapı kesintileri öne çıkıyor. OVHcloud deposunun ele geçirilmesi, npm paket riskleri, kötü amaçlı üçüncü taraf referansları ve CI workflow sırlarına erişim sağlayan açıklar platformun tehditlerle karşı karşıya olduğunu gösteriyor.

Anthropic'in Claude Code'u GitHub'da şifre ve token sızıntısına yol açıyor
⭐ 80

Anthropic'in Claude Code'u GitHub'da şifre ve token sızıntısına yol açıyor

AI güvenlik firması Apiiro, Claude Code ayar dosyalarının GitHub'a yanlışlıkla yüklenmesiyle binlerce gizli bilginin açığa çıktığını tespit etti. Sorun, kullanıcı onaylarının yerel settings.local.json dosyasına yazılması ve .gitignore ayarının depo seviyesinde korunmamasından kaynaklanıyor. Anthropic sorunu araştırmaya başladığını söylerken, araştırmacılar tespit edilen sırların bir kısmının popüler tarayıcılarca yakalanamadığını belirtiyor.

20 görüntülenme
GhostAction dalgası etkisiz kaldı, saldırganlar GitHub'da aktifliğini sürdürüyor
⭐ 80

GhostAction dalgası etkisiz kaldı, saldırganlar GitHub'da aktifliğini sürdürüyor

GitHub hesaplarını ele geçirerek Actions iş akışı dosyaları enjekte eden GhostAction kampanyasının yeni dalgası büyük ölçüde etkisiz kaldı. GitGuardian araştırması, saldırganların 23 bin açık depoya 72 bin taahhüt gönderdiğini ve 1.800'den fazla hesabı ele geçirdiğini ortaya koydu. Uzmanlar, tehdit aktörünün bulut erişimine yönelen yükler denediğini ve aynı çalıntı belirteçlerin hâlâ çalışır durumda olduğunu belirtiyor.

38 görüntülenme
Saldırganlar OVHcloud CLI'nin beş sürümünü ele geçirip gizli bilgi çalan kötü yazılım yaydı
⭐ 85

Saldırganlar OVHcloud CLI'nin beş sürümünü ele geçirip gizli bilgi çalan kötü yazılım yaydı

19 Ekim'de bir katkıda bulunanın GitHub hesabı ele geçirilerek OVHcloud'un komut satırı aracının beş eski sürümündeki indirme arşivleri değiştirildi. Zararlı derlemeler 94 dakika boyunca yayında kaldı ve kurulan sistemlerdeki gizli bilgileri çalmaya yönelikti. OVHcloud temiz v0.16.0 sürümünü yayımladı ve etkilenen kullanıcıların tüm sırları değiştirmesini istedi.

37 görüntülenme
GitHub, npm yayınını sıkılaştırdı: 1.500'den fazla paket ele geçirmeye açık kaldı
⭐ 80

GitHub, npm yayınını sıkılaştırdı: 1.500'den fazla paket ele geçirmeye açık kaldı

GitHub, npm'de güvenilir yayın yapılandırmalarının 48 saat içinde ilk başarılı yayını yapılmazsa geçersiz hale gelmesini sağladı. Bloom Security'nin bulduğu açık, depo adının çalınmasıyla binlerce paketin ele geçirilmesine izin veriyordu. Şirket ayrıca GitHub Actions issue_comment olaylarından gelen tokenleri reddediyor.

43 görüntülenme
Placeholder third-party.com 1.700'den fazla depoda referans gösteriliyor, şimdi kötü amaçlı içerik sunuyor
⭐ 78

Placeholder third-party.com 1.700'den fazla depoda referans gösteriliyor, şimdi kötü amaçlı içerik sunuyor

third-party[.]com alanı yıllardır dokümantasyon yer tutucusu olarak kullanılıyordu; şimdi Windows kullanıcılarına ClickFix tuzağı sunuyor. Alan en az Haziran 2026'dan beri ClickFix tuzağını sunuyor ve GitHub'da 1.700'den fazla açık depoda referans gösteriliyor. Manifold Security, IANA tarafından ayrılmamış benzer yer tutucu alanların da kötüye kullanıldığını bildirdi.

48 görüntülenme
FakeGit Kampanyası: 7.600 Sahte GitHub Deposuyla SmartLoader Yayılıyor
⭐ 85

FakeGit Kampanyası: 7.600 Sahte GitHub Deposuyla SmartLoader Yayılıyor

Siber güvenlik araştırmacıları, FakeGit adlı bir kampanya kapsamında 7.600'den fazla kötü amaçlı GitHub deposu tespit etti. Bu depoların 800'den fazlası, yapay zeka becerileri veya Model Context Protocol (MCP) sunucuları gibi görünerek SmartLoader adlı kötü amaçlı yazılımı yayıyor.

54 görüntülenme
CISA'nın GitHub Sızıntısından Alınan Dersler
⭐ 78

CISA'nın GitHub Sızıntısından Alınan Dersler

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bir yüklenicinin AWS GovCloud anahtarları da dahil olmak üzere onlarca hassas kimlik bilgisini altı ay boyunca herkese açık bir GitHub deposunda yayınlamasının ardından bir olay sonrası rapor yayınladı. Uzmanlar, ajansın ilk müdahalesindeki eksikliklerin tüm güvenlik ekipleri için önemli dersler içerdiğini belirtiyor.

72 görüntülenme
ABD Siber Güvenlik Ajansı CISA, Olay Anında Müdahale Planını Oluşturmak Zorunda Kaldı
⭐ 75

ABD Siber Güvenlik Ajansı CISA, Olay Anında Müdahale Planını Oluşturmak Zorunda Kaldı

ABD federal siber güvenlik ajansı CISA, Mayıs ayında bir müteahhidin hassas anahtarları ve kimlik bilgilerini ifşa etmesi üzerine önceden hazırlanmış bir müdahale planının olmadığını itiraf etti. Ajans, olay sonrası yayımladığı raporda personelinin olayın ilk aşamalarında bir müdahale planı geliştirmek zorunda kaldığını belirtti.

70 görüntülenme
npm 12, Varsayılan Olarak Kurulum Betiklerini Devre Dışı Bırakarak Tedarik Zinciri Riskini Azaltıyor
⭐ 78

npm 12, Varsayılan Olarak Kurulum Betiklerini Devre Dışı Bırakarak Tedarik Zinciri Riskini Azaltıyor

GitHub, npm 12 sürümünü yayınladı. Artık kurulum betikleri varsayılan olarak devre dışı bırakılıyor ve iki faktörlü kimlik doğrulamayı (2FA) atlamak için kullanılan Granüler Erişim Token'ları (GAT) kullanımdan kaldırılıyor. Bu değişiklikler, yazılım tedarik zinciri saldırılarına karşı önemli bir güvenlik önlemi olarak görülüyor.

57 görüntülenme
GitHub'de 'Doğrulanmış' Commit'ler Yeni Hash'lerle Değiştirilebilir
⭐ 85

GitHub'de 'Doğrulanmış' Commit'ler Yeni Hash'lerle Değiştirilebilir

Yeni bir araştırmaya göre, GitHub'de 'doğrulanmış' commit'ler aynı dosyaları, yazarı ve tarihi içeren yeni bir commit ile değiştirilebilir ve geçerli bir imza ile 'Doğrulanmış' olarak işaretlenebilir. Bu, birçok sistemin 'doğrulanmış' commit hash'ini kalıcı ve benzersiz bir ad olarak kabul ettiği için önemlidir.

45 görüntülenme
Kongre, CISA'nın AWS Anahtarı Sızıntısını Sormaya Çağırdı
⭐ 78

Kongre, CISA'nın AWS Anahtarı Sızıntısını Sormaya Çağırdı

Bir CISA müteahhitinin ajansın AWS GovCloud anahtarlarını ve onlarca gizli kimlik bilgisini GitHub'da herkese açık bir hesapta yayımlaması üzerine ABD Kongresi harekete geçti. Hem Senato hem de Temsilciler Meclisi'nden üyeler, ajans yöneticisine yazılı sorular yöneltti. CISA ise verilerin ne kadar süre açıkta kaldığını açıklamadan herhangi bir hassas verinin ele geçirilmediğini savunuyor.

101 görüntülenme