Tietoturvatutkijat paljastivat 18.5.2026 massiivisen automatisoidun Megalodon kampanjan, joka työnsi 5 718 haitallista commitia 5 561 GitHub repositorioon noin kuudessa tunnissa.
Hyökkääjät käyttivät kertakäyttötilejä ja väärennettyjä botti identiteettejä (kuten build bot, auto ci, ci bot, pipeline bot) tehdäkseen haitallisista commiteista normaalin CI huollon näköisiä.
Megalodon kampanja ajoittui samaan aikaan erillisen GitHub turvaloukkauksen kanssa, jossa myrkytetty VS Code laajennus altisti noin 3 800 sisäistä repositoriota.
What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits intoThe “Megalodon” campaign injected thousands of malicious commits and poisoned CI workflows across GitHub repositories in a matter of hours.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
openai.com
Massiivinen automatisoitu hyökkäys GitHub CI -putkia vastaan
Tietoturvatutkijat paljastivat 18. toukokuuta 2026 nopeasti etenevän ohjelmistotoimitusketjuhyökkäyksen, joka sai nimekseen ”Megalodon”. Noin kuudessa tunnissa hyökkääjät työnsivät 5 718 haitallista commitia 5 561 GitHub-repositorioon, mikä tekee siitä yhden suurimmista automatisoiduista repositorioiden myrkytyskampanjoista, joita alustalla on havaittu.
Sen sijaan, että hyökkääjät olisivat muuttaneet sovelluskoodia, he ruiskuttivat haitallisia GitHub Actions -työnkulkutiedostoja. Nämä työnkulut suoritettiin CI/CD-putkissa ja yrittivät varastaa salaisuuksia ja tunnistetietoja aina, kun repositorion automaatio käynnistyi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Megalodon-hyökkäys: 5 718 haitallista commitia 5 561 GitHub-repositorioon kuudessa tunnissa"?
Tietoturvatutkijat paljastivat 18.5.2026 massiivisen automatisoidun Megalodon kampanjan, joka työnsi 5 718 haitallista commitia 5 561 GitHub repositorioon noin kuudessa tunnissa.
What are the key points to validate first?
Tietoturvatutkijat paljastivat 18.5.2026 massiivisen automatisoidun Megalodon kampanjan, joka työnsi 5 718 haitallista commitia 5 561 GitHub repositorioon noin kuudessa tunnissa. Hyökkääjät käyttivät kertakäyttötilejä ja väärennettyjä botti identiteettejä (kuten build bot, auto ci, ci bot, pipeline bot) tehdäkseen haitallisista commiteista normaalin CI huollon näköisiä.
What should I do next in practice?
Megalodon kampanja ajoittui samaan aikaan erillisen GitHub turvaloukkauksen kanssa, jossa myrkytetty VS Code laajennus altisti noin 3 800 sisäistä repositoriota.
Operaatio toteutettiin noin kello 11.36–17.48 UTC, mikä viittaa erittäin automatisoituun järjestelmään, joka oli suunniteltu vaarantamaan suuria määriä repositorioita nopeasti ennen kuin ylläpitäjät ehtivät huomata muutokset.
Kuinka hyökkääjät ruiskuttivat tuhansia commiteja niin nopeasti
Kampanja nojasi automaatioon ja sosiaaliseen naamiointiin saadakseen haitalliset committi näyttämään normaalilta CI-huollolta.
Väärennetyt CI-botit ja kertakäyttötilit
Hyökkääjät loivat kertakäyttöisiä GitHub-tilejä, joilla oli satunnaistetut käyttäjänimet ja väärennetyt automaatioidentiteetit, kuten:
build-bot
auto-ci
ci-bot
pipeline-bot
Nämä identiteetit saivat committi näyttämään tulevan rutiininomaisesta automaatiojärjestelmästä eikä ihmishyökkääjältä.
Väärennetty commit-metatieto
Commitien tekijätiedot ja viestit muotoiltiin näyttämään uskottavilta — ne muistuttivat usein rutiininomaisia työnkulun päivityksiä tai CI-konfiguraation hienosäätöjä. Tämä auttoi commiteja sulautumaan normaaliin kehitystoimintaan ja viivästytti epäilyksiä.
Heikkojen haaransuojausten hyväksikäyttö
Kampanja kohdistui repositorioihin, joissa haaransuojaussäännöt olivat heikkoja tai puuttuivat kokonaan. Ilman pakollisia pull request -tarkastuksia tai rajoituksia sille, kuka voi muokata työnkulkuja, hyökkääjät pystyivät työntämään työnkulkumuutoksia suoraan repositorion oletushaaraan.
Myrkytetyt GitHub Actions -työnkulut
Jokainen haitallinen commit lisäsi GitHub Actions -työnkulkutiedoston, joka sisälsi Base64-koodatun Bash-haittakoodin. Kun CI-putki suoritettiin, skripti käynnistyi GitHub Actions -suorittimen sisällä ja alkoi kerätä tunnistetietoja.
Tämä suunnittelu tarkoitti, että hyökkäys pysyi usein piilossa, kunnes seuraava CI-ajo käynnisti työnkulun.
Mitä haittakoodi yritti varastaa
Työnkulkuihin upotettu Base64-koodattu skripti oli suunniteltu keräämään arkaluonteisia tietoja CI-ympäristöstä ja lähettämään ne hyökkääjän hallitsemaan infrastruktuuriin.
Raportoituja kohteita olivat:
CI/CD-ympäristömuuttujat
Pilvipalveluntarjoajien tunnistetiedot (AWS, Google Cloud, Azure)
Yksityiset SSH-avaimet
API-tokenit ja sovellussalaisuudet
GitHub Actions OIDC -tokenit
Muut suoritusympäristössä paljastuneet konfiguraatiosalaisuudet
Haittakoodi keräsi ympäristömuuttujia, järjestelmätietoja ja CI-suorittimelle näkyviä salaisuuksia ennen kuin lähetti ne komento- ja hallintapalvelimelle.
Koska CI-putket sisältävät usein käyttöönoton tunnistetietoja, rakennusympäristön vaarantuminen voi avata reittejä pilvi-infrastruktuuriin, pakettirekistereihin ja tuotantokäyttöönottoihin.
Miksi OIDC-tokenien varastaminen on erityisen vaarallista
Yksi Megalodon-haittakoodin päätavoitteista oli GitHub Actions OIDC -tokenit.
Nykyaikaiset CI/CD-putket käyttävät usein OpenID Connect (OIDC) -federaatiota todentaakseen pilvipalveluntarjoajille ilman pitkäaikaisten tunnistetietojen tallentamista. Sen sijaan työnkulku pyytää lyhytikäistä identiteettitokenia, jonka pilvipalveluntarjoajat vaihtavat väliaikaisiksi käyttöoikeustunnuksiksi.
Tämä lähestymistapa parantaa turvallisuutta poistamalla staattiset API-avaimet tai palvelutilin tunnistetiedot. Se tuo kuitenkin uuden riskin: jos hyökkääjä onnistuu varastamaan tokenin putken suorituksen aikana, hän voi tilapäisesti esiintyä CI-työn identiteetillä.
Koska pilvi-identiteettijärjestelmät luottavat näihin tokeneihin, varastettu token voidaan mahdollisesti vaihtaa väliaikaisiksi pilvikäyttöoikeuksiksi, joilla on samat oikeudet kuin käyttöönottoputkella.
Tämä tarkoittaa, että vaarantunut CI-työnkulku voi johtaa:
pilvi-infrastruktuurin käyttöön
käyttöönottoputken kaappaamiseen
salaisuuksien hakemiseen pilvipalveluista
Vaikka OIDC-tokenit vanhenevat nopeasti, niihin liitetyt oikeudet voivat silti tehdä lyhytaikaisesta pääsystä erittäin arvokasta hyökkääjille.
Miksi hyökkäys oli merkittävä
Megalodon-kampanja osoittaa toimitusketjuhyökkäysten siirtymisen sovelluskoodin muokkaamisesta automaatioinfrastruktuurin vaarantamiseen.
Kohdistamalla CI-työnkulkuihin lähdekoodin sijaan hyökkääjät voivat:
varastaa tunnistetietoja automaattisesti putkien suorituksen aikana
päästä käsiksi käyttöönottojärjestelmiin ja pilviympäristöihin
pysyä piilossa rutiininomaisten automaatiomuutosten sisällä
Koska tuhannet repositoriot luottavat CI-putkiin, joilla on laajat tunnistetiedot, yksi työnkulun muutos voi paljastaa salaisuuksia monissa alijärjestelmissä.
Oliko Megalodon yhteydessä GitHubin VS Code -laajennusvuotoon?
Samaan aikaan GitHub paljasti erillisen tietoturvapoikkeaman, joka koski myrkytettyä Visual Studio Code -laajennusta, joka oli asennettu työntekijän laitteelle. Haitallinen laajennus mahdollisti hyökkääjien pääsyn noin 3 800 sisäiseen GitHub-repositorioon ennen kuin vuoto saatiin hallintaan.
Tämä vuoto jäljitettiin vaarantuneeseen kehittäjäympäristöön, ja siinä kerättiin tunnistetietoja troijalaisen laajennuksen kautta, joka oli levitetty VS Code -markkinapaikalla.
Jotkin tietoturvaraportit huomauttavat yhtäläisyyksistä ajoituksessa ja taktiikoissa tämän tapahtuman ja muiden kehittäjätyökaluihin kohdistuneiden toimitusketjuhyökkäysten välillä. Julkiset todisteet eivät kuitenkaan ole vahvistaneet, että sisäinen GitHub-vuoto olisi suoraan mahdollistanut Megalodon-kampanjan.
Toistaiseksi nämä kaksi tapahtumaa on parasta ymmärtää erillisinä mutta samanaikaisina toimitusketjun tietoturvatapahtumina, jotka vaikuttavat kehittäjäekosysteemiin.
Laajempi oppi CI/CD-turvallisuudesta
Megalodon osoittaa, kuinka nopeasti automaatio voi skaalata toimitusketjuhyökkäyksen tuhansiin repositorioihin. Yhdistämällä tekaistut botit, automatisoidut committi ja myrkytetyt CI-työnkulut hyökkääjät muuttivat rutiininomaisen rakennusinfrastruktuurin tunnistetietojen keruujärjestelmäksi.
Tapaus vahvisti useita puolustusprioriteetteja ohjelmistotiimeille:
tiukat haaransuojaussäännöt
pakolliset tarkastukset työnkulkumuutoksille
mahdollisimman vähäiset oikeudet CI-työille
automaatiotilien ja työnkulun päivitysten huolellinen seuranta
Koska kehitysputket hallitsevat yhä enemmän pilvikäyttöönottoja ja tuotantoinfrastruktuuria, CI/CD-työnkulkujen turvallisuudesta on tullut kriittinen osa ohjelmistotoimitusketjun puolustusta.
hackread.com5,561 GitHub Repositories Hit by Megalodon Supply Chain Attack in ...
neuracybintel.comMegalodon GitHub Attack Hits 5,561 Repositories with ...
thehackernews.comMegalodon GitHub Attack Targets 5,561 Repos with Malicious CI ...
stepsecurity.ioMegalodon: Mass GitHub Actions Secret Exfiltration ... - StepSecurity
pasqualepillitteri.itMegalodon Malware: 5,561 GitHub Repos Compromised in 6 Hours ...