Dacă ai un cont GitHub sau folosești Google Chrome — adică practic oricine citește aceste rânduri — săptămâna 20–22 mai 2026 a adus două știri de securitate pe care nu le poți ignora. Luate separat, fiecare ar fi fost o urgență. Combinate, tabloul e îngrijorător.
GitHub spart din interior: extensia VS Code infectată
Pe 20 mai 2026, GitHub a confirmat că un grup de atacatori cunoscut sub numele de TeamPCP a reușit să compromită repository-uri interne ale platformei. Metoda de atac a fost ingenioasă și extrem de periculoasă: un angajat GitHub a fost păcălit să instaleze o versiune malițioasă a extensiei Nx Console pentru Visual Studio Code — o extensie populară în ecosistemul Angular.
Extensia infectată a compromis dispozitivul angajatului, iar de acolo atacatorii au obținut acces la aproximativ 3.800 de repository-uri interne ale GitHub. Datele furate au apărut imediat la vânzare pe dark web, la prețuri între 50.000 și 95.000 de dolari, cu amenințarea că vor fi publicate gratuit dacă nu apare niciun cumpărător.
Ce înseamnă asta în practică? Potențial cod sursă al unor sisteme interne GitHub, configurații, chei de API și informații despre infrastructura pe care se bazează peste 100 de milioane de dezvoltatori din lume.
CVE-2026-3854: vulnerabilitatea RCE care afecta 88% din instanțe
Separat de breach, cercetătorii de securitate au dezvăluit detalii despre o altă vulnerabilitate critică în GitHub: CVE-2026-3854, cu un scor CVSS de 8.7. Flaw-ul permite unui atacator autentificat să obțină Remote Code Execution (RCE) printr-un simplu git push.
Mecanismul: valorile opțiunii de push introduse de utilizator nu erau sanitizate corect înainte de a fi incluse în header-ele serviciilor interne. Prin valori crafted, un atacator putea injecta câmpuri suplimentare de metadate — și, pe GitHub.com cu arhitectura sa multi-tenant, asta înseamnă potențial acces la milioane de repository-uri de pe același nod de stocare. La momentul dezvăluirii publice, 88% din instanțe erau încă vulnerabile.
Chrome: 79 de vulnerabilități, 14 critice — actualizează acum
Pe aceeași perioadă, Google a lansat un patch masiv pentru Chrome care acoperă 79 de vulnerabilități, dintre care 14 sunt cotate ca critice. Versiunea actualizată este 148.0.7778.167/168 pe Windows și Mac, respectiv 148.0.7778.167 pe Linux.
Vulnerabilitățile permit unui atacator remote să execute cod arbitrar, să provoace denial of service, să ocolească restricții de securitate sau să obțină acces la date sensibile. Cel mai mare reward acordat unui cercetător extern pentru această rundă de patch-uri: 43.000 de dolari, pentru descoperirea unui heap buffer overflow critic în componenta WebML.
Ce trebuie să faci imediat
- Actualizează Chrome — mergi la
chrome://settings/helpși instalează update-ul dacă nu s-a instalat automat - Auditează extensiile VS Code — verifică toate extensiile instalate, în special cele mai puțin cunoscute sau recent actualizate
- Rotește token-urile GitHub — dacă ai acces la repository-uri private, schimbă-ți Personal Access Tokens
- Activează 2FA pe GitHub — dacă nu l-ai activat deja, acum e momentul
- Monitorizează activitatea — verifică jurnalele de acces ale contului tău GitHub pentru activitate suspectă
Realitatea e că vectorul principal al breșei GitHub — o extensie dintr-un marketplace de încredere — subliniază o problemă sistemică: supply chain-ul software-ului de dezvoltare este o suprafață de atac neglijată. Dacă poți compromite instrumentele unui singur inginer, poți compromite tot ce atinge acel inginer.
Fii primul care comentează acest articol!