Github

นักวิจัยจากมหาวิทยาลัย Missouri-Kansas City สาธิตการโจมตีชื่อ Ghostcommit ที่ซ่อนคำสั่งอันตรายไว้ในไฟล์รูป PNG ซึ่ง AI code reviewer ไม่เคยเปิดอ่าน เมื่อ AI coding agent ทำงานภายหลังจะอ่านรูปนั้น เปิดไฟล์ .env และเขียนคีย์ลับทั้งหมดออกมาเป็นชุดตัวเลขที่ดูไม่มีพิษภัย งานวิจัยพบว่า pull request ที่ merge เข้า main กว่า 73% ไม่ผ่านการรีวิวจากคนหรือบอตเลย และเครื่องมือที่ครอบ AI ต่างหากที่ชี้ผลว่าจะโดนหรือไม่ ไม่ใช่ตัวโมเดล

ผู้ก่อภัยคุกคามเจาะ GitHub repository ของโครงการ Injective Labs SDK แล้วใช้ปล่อยแพ็กเกจอันตรายบน npm เพื่อขโมย private key และ mnemonic seed phrase ของกระเป๋าคริปโต เวอร์ชันที่ถูกเจาะคือ @injectivelabs/sdk-ts@1.20.21 ฝังฟังก์ชัน telemetry ปลอมที่ขโมยข้อมูลกระเป๋า พร้อมกระจายเวอร์ชันเดียวกันไปยังอีก 17 แพ็กเกจในเครือ การโจมตีใช้บัญชี maintainer ที่ไว้ใจได้ผ่าน trusted-publisher (OIDC) pipeline ผู้ใช้ที่ติดตั้งควรอัปเดตเป็นเวอร์ชันสะอาด 1.20.23 และเปลี่ยนกุญแจทั้งหมดทันที

บริษัท Datadog เตือนหลายแคมเปญที่ทำงานทับซ้อนกัน กำลังกวาดข้อมูลองค์กร repository และบัญชีผู้ใช้บน GitHub อย่างเป็นระบบผ่าน GitHub API โดยใช้บัญชี ‘ผี’ ที่สร้างทิ้งไว้ 2-5 ปีก่อนปลุกมาใช้ รวมกับ OAuth token และ PAT ที่หลุดของผู้ใช้จริงกว่า 50 บัญชี เนื่องจากพื้นผิว API ส่วนใหญ่เข้าถึงได้โดยไม่ต้องยืนยันตัวตน คำสั่งสำรวจจึงกลืนไปกับการใช้งานปกติ ส่วนใหญ่โจมตีข้อมูลสาธารณะ แต่บางเคสถึงขั้นโคลน repository ส่วนตัวได้สำเร็จ

นาย Jacob Ginesin นักวิจัยจาก Carnegie Mellon และ Cure53 เผยงานวิจัยว่าแฮชของ Git commit ที่เซ็นชื่อแล้วไม่ได้ไม่ซ้ำใครอย่างที่หลายระบบเข้าใจ ผู้ที่ไม่มีคีย์เซ็นสามารถสร้าง commit ใหม่ที่มีไฟล์ ผู้เขียน และวันที่เหมือนเดิมพร้อมลายเซ็นถูกต้อง โดย GitHub ยังขึ้นตรา Verified แต่แฮชต่างออกไป ต้นตอคือ signature malleability ที่เขียนลายเซ็นใหม่ได้หลายรูปแบบโดยโค้ดไม่เปลี่ยน กระทบระบบ blocklist, provenance log และ reproducible build ที่ยึดแฮช ไม่มี CVE และการแก้ต้องทำที่ฝั่ง forge

นักวิจัยจาก Novee Security เปิดเผยช่องโหว่ CI/CD รูปแบบใหม่ชื่อ Cordyceps เดือนมิถุนายน 2569 หลังสแกน repository กว่า 30,000 แห่ง พบเสี่ยง 654 และยืนยันโจมตีได้จริงกว่า 300 แห่ง ต้นเหตุคือการต่อ workflow ของ GitHub Actions ที่รันโค้ดจาก fork ไม่น่าเชื่อถือพร้อมสิทธิ์เข้าถึง secret ผู้โจมตีเพียงมีบัญชี GitHub ฟรีก็ขโมยโทเคนถาวรได้ กระทบโปรเจกต์ของ Microsoft, Google, Apache และ Cloudflare

YesWeHack และ Sekoia เปิดโปงโทรจันขโมยข้อมูลตัวใหม่ชื่อ ChocoPoC ที่ซ่อนอยู่ในโค้ด PoC ปลอมบน GitHub ซึ่งอ้างว่าเจาะ CVE ดัง ๆ เมื่อรัน มันจะขโมยรหัสผ่าน คุกกี้เบราว์เซอร์ และไฟล์ แล้วเปิด shell ให้แฮ็กเกอร์ มัลแวร์ซ่อนในแพ็กเกจ Python ที่ PoC ดึงมาเป็น dependency ทำให้ผ่านการรีวิวโค้ด พบรีโปปลอมอย่างน้อย 7 แห่งผูกกับช่องโหว่ดัง แพ็กเกจ skytext ถูกดาวน์โหลดราว 2,400 ครั้ง นักวิจัยเตือนอย่ารันโค้ดเหล่านี้

นักวิจัย Novee Security เปิดโปงช่องโหว่ workflow CI/CD รูปแบบใหม่ชื่อ Cordyceps ที่เปิดทางให้ผู้โจมตียึด workflow และเจาะ open-source supply chain ได้ จากการสแกน repo สำคัญ 30,000 แห่ง พบกว่า 300 แห่งถูกเจาะได้เต็มรูปแบบ รวมถึง repo ของ Microsoft, Google, Apache และ Cloudflare ผู้ใช้ที่ไม่ผ่านการยืนยันตัวตนและมีบัญชีฟรีก็สามารถปลอมการอนุมัติ push โค้ด หรือขโมย credential ได้

นักวิจัยพบแคมเปญมัลแวร์ขนาดใหญ่บน GitHub กว่า 10,000 repository ที่กระจายไฟล์ ZIP ฝังโทรจัน ผู้โจมตีโคลน repository จริงพร้อมประวัติ commit และโปรไฟล์ผู้ร่วมพัฒนาเพื่อสร้างความน่าเชื่อถือ แล้วแก้ไฟล์ README ให้ลิงก์ไปยังไฟล์ ZIP อันตราย ไฟล์แต่ละชิ้นมักไม่ถูกตรวจจับบน VirusTotal แต่เมื่อดาวน์โหลดทั้งชุดจะพบโทรจัน แคมเปญนี้ใช้มาตั้งแต่ต้นปี 2025 และเชื่อมโยงกับ SmartLoader และ StealC

ผู้โจมตีไม่ทราบตัวตนสร้างแคมเปญหลอกลวงขนาดใหญ่เผยแพร่มัลแวร์ประเภท crypto clipper ผ่าน GitHub, SourceForge และ YouTube โดยใช้รีวิวปลอม วิดีโอสอนที่ผู้บรรยายสร้างด้วย AI และคอมเมนต์บน VirusTotal เพื่อบิดเบือนความน่าเชื่อถือ มัลแวร์เขียนด้วย Rust โจมตีทั้ง Windows และ macOS แอบเปลี่ยนที่อยู่กระเป๋าคริปโตในคลิปบอร์ดเป็นของผู้โจมตี เหยื่อหลักคือนักลงทุนคริปโตและนักพนันออนไลน์ที่ค้นหาเครื่องมือลัด

GitHub ประกาศว่า npm เวอร์ชัน 12 ที่คาดว่าจะออกในเดือนกรกฎาคมจะเปลี่ยนพฤติกรรมสำคัญ โดย npm install จะไม่รันสคริปต์ preinstall, install หรือ postinstall จาก dependency อีกต่อไป ยกเว้นได้รับอนุญาตอย่างชัดแจ้ง เพื่อปิดช่องทางโจมตี supply chain ที่ถูกใช้ในเหตุการณ์ใหญ่หลายครั้งช่วงที่ผ่านมา