תולעת Miasma פגעה במיקרוסופט: 73 מאגרי GitHub הושבתו בתוך 105 שניות
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13]. המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13].
המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
התולעת גנבה אסימוני גישה ופרטי התחברות, התפשטה למאגרים נוספים וניסתה להפעיל הוראות זדוניות כאשר מפתחים פתחו פרויקטים בכלי קידוד מבוססי AI כמו Claude Code ו Cursor [6][8][15][16].
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
מה קרה ב-5 ביוני?
מתקפת שרשרת האספקה של תוכנה, שכונתה Miasma, הגיעה ב-5 ביוני 2026 לתשתיות GitHub של מיקרוסופט. תוקפים השתמשו בחשבון של תורם שנפרץ קודם לכן כדי להעלות commit זדוני למאגר Azure/durabletask.
בתגובה, מערכות ההגנה האוטומטיות של GitHub השביתו בתוך 105 שניות 73 מאגרים בארבעה ארגונים של מיקרוסופט :
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "תולעת Miasma פגעה במיקרוסופט: 73 מאגרי GitHub הושבתו בתוך 105 שניות"?
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13].
What are the key points to validate first?
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13]. המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
What should I do next in practice?
התולעת גנבה אסימוני גישה ופרטי התחברות, התפשטה למאגרים נוספים וניסתה להפעיל הוראות זדוניות כאשר מפתחים פתחו פרויקטים בכלי קידוד מבוססי AI כמו Claude Code ו Cursor [6][8][15][16].
תולעת Miasma פגעה במיקרוסופט: 73 מאגרי GitHub הושבתו בתוך 105 שניות
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13]. המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13].
המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
התולעת גנבה אסימוני גישה ופרטי התחברות, התפשטה למאגרים נוספים וניסתה להפעיל הוראות זדוניות כאשר מפתחים פתחו פרויקטים בכלי קידוד מבוססי AI כמו Claude Code ו Cursor [6][8][15][16].
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
מה קרה ב-5 ביוני?
מתקפת שרשרת האספקה של תוכנה, שכונתה Miasma, הגיעה ב-5 ביוני 2026 לתשתיות GitHub של מיקרוסופט. תוקפים השתמשו בחשבון של תורם שנפרץ קודם לכן כדי להעלות commit זדוני למאגר Azure/durabletask.
בתגובה, מערכות ההגנה האוטומטיות של GitHub השביתו בתוך 105 שניות 73 מאגרים בארבעה ארגונים של מיקרוסופט :
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "תולעת Miasma פגעה במיקרוסופט: 73 מאגרי GitHub הושבתו בתוך 105 שניות"?
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13].
What are the key points to validate first?
ב 5 ביוני 2026 השביתה GitHub באופן אוטומטי 73 מאגרי קוד של מיקרוסופט בארבעה ארגונים בתוך 105 שניות, בעקבות מתקפת Miasma [9][13]. המתקפה החלה ב 32 חבילות npm של Red Hat, שכללו 96 גרסאות זדוניות ונמשכו יחד כ 117 אלף הורדות שבועיות [3][16][23].
What should I do next in practice?
התולעת גנבה אסימוני גישה ופרטי התחברות, התפשטה למאגרים נוספים וניסתה להפעיל הוראות זדוניות כאשר מפתחים פתחו פרויקטים בכלי קידוד מבוססי AI כמו Claude Code ו Cursor [6][8][15][16].
במאגרים שנפגעו הופיעה הודעה אפורה שלפיה הגישה למאגר הושבתה על ידי צוות GitHub בשל הפרת תנאי השירות .
נקודת ההתחלה: חבילות npm של Red Hat
הקמפיין נחשף לראשונה ב-1 ביוני, כאשר חוקרי אבטחה מ-Aikido ומ-OX Security זיהו קוד זדוני בחבילות תחת מרחב השמות @redhat-cloud-services ב-npm. החבילות משמשות רכיבים של Red Hat Hybrid Cloud Console. בסך הכול נפגעו 32 חבילות ו-96 גרסאות זדוניות, עם כ-117 אלף הורדות שבועיות במצטבר .
האירוע לא נבע רק מדליפה של אסימון פרסום ל-npm. לפי החוקרים, התוקפים השתלטו על חשבון GitHub של עובד Red Hat והשתמשו בו כדי להחדיר commits זדוניים לצינור ה-CI/CD של RedHatInsights/javascript-clients. כך הם ניצלו את מנגנון הפרסום המהימן של GitHub, המבוסס על OIDC, ופרסמו חבילות שנראו לגיטימיות ואף נשאו אישורי מקוריות מסוג SLSA .
החבילות כללו סקריפט preinstall, שמופעל אוטומטית בעת התקנת החבילה. הסקריפט הוריד מטען זדוני בגודל 28 ק״ב, שנועד לגנוב פרטי התחברות. הנוזקה זוהתה כווריאנט חדש של משפחת Mini Shai-Hulud, שכונה Miasma, ונקשרה לקבוצת האיום TeamPCP — אף שלא ניתן לשלול שימוש בקוד על ידי גורמי חיקוי .
כיצד התולעת התפשטה?
Miasma שילבה כמה שיטות תקיפה, ובהן הרעלה של מאגרי תוכנה, גניבת סודות והתפשטות עצמאית:
הרעלת npm: גרסאות נגועות הפעילו את המטען מיד לאחר שפתח מפתח בהרצת npm install.
התפשטות עצמית: לאחר ההדבקה, התולעת חיפשה אסימוני GitHub, אסימוני npm ופרטי גישה נוספים, והשתמשה בהם כדי להעלות קוד זדוני למאגרים שבהם הקורבן יכול לפרסם .
גניבת סודות: המטען כוון לפרטי גישה של AWS, Azure, GCP, Kubernetes ו-HashiCorp Vault, וכן למפתחות SSH, משתני סביבה, ארנקי מטבעות דיגיטליים ולנתוני תצורה של יותר מ-90 כלי פיתוח .
ניצול פרסום מהימן: השתלטות על חשבון עובד אפשרה לתוקפים להפעיל את תהליך הפרסום הלגיטימי של GitHub, כך שהחבילות הזדוניות נראו כאילו נבנו ופורסמו באופן תקין .
החידוש המסוכן: תקיפה של כלי קידוד מבוססי AI
בשלב שהגיע למיקרוסופט, התוקפים לא הסתפקו בהחדרת קוד לחבילה או למאגר. הם הוסיפו קובצי תצורה שנועדו לכלי קידוד מבוססי בינה מלאכותית.
כאשר מפתח פתח את המאגר בכלים כמו Claude Code, Gemini CLI, Cursor או VS Code, הקבצים עלולים להיקרא אוטומטית ולגרום לכלי לבצע הוראות שהושתלו על ידי התוקפים. הוראות אלה נועדו להפעיל מטען לגניבת פרטי התחברות .
המשמעות היא שכלי AI, שאמורים לסייע למפתח להבין קוד ולבצע משימות, עלולים להפוך — אם אינם מוגדרים ומפוקחים כראוי — לנקודת ביצוע של הוראות זדוניות מתוך מאגר שנפרץ.
מה נעשה בעקבות האירוע?
ב-5 ביוני GitHub השביתה 73 מאגרי מיקרוסופט בסריקה אוטומטית שנמשכה 105 שניות .
Red Hat פרסמה את ההתרעה RHSB-2026-006, ביטלה אסימוני npm ופרטי פרסום שנפגעו והסירה את החבילות הזדוניות מהמרשם .
Microsoft Threat Intelligence פרסמה ב-2 ביוני ניתוח של שרשרת התקיפה והנחיות לזיהוי .
חוקרי אבטחה המליצו למי שהתקין גרסאות מושפעות להחליף מיד סודות CI, פרטי גישה לענן, מפתחות SSH ואסימוני npm, לבדוק את צינורות ה-CI/CD ולחפש commits בלתי מורשים .
בין סימני הזיהוי שנמסרו הייתה המחרוזת "Miasma – The Spreading Blight".
האיום הרחב יותר: IronWorm וסכנת החיקויים
Miasma לא הייתה האירוע היחיד שנחשף באותה תקופה. ב-5 ביוני דיווחו Endor Labs ו-StepSecurity על קמפיין נפרד אך מקביל, שכונה IronWorm. בקמפיין זה נפגעו 57 חבילות npm ביותר מ-286 גרסאות זדוניות, שנועדו להפיץ וריאנט חדש של תולעת Miasma . החוקרים תיארו גם שימוש לרעה בקובצי binding.gyp לצורך הפעלת קוד .
ה-Cloud Security Alliance הזהירה כי גם אם הקמפיין המקורי מיוחס ל-TeamPCP, בסיס הקוד של התולעת פורסם לציבור. לכן לא ניתן לשלול גורמי חיקוי שישתמשו באותם כלים או בגרסאות ששונו שלהם .
האירועים ממחישים את הסיכון המרכזי במתקפות שרשרת אספקה: התוקף אינו חייב לפרוץ ישירות למערכת היעד. די לעיתים בהשתלטות על חשבון מפתח, חבילה נפוצה או תהליך פרסום מהימן כדי להגיע למפתחים, למאגרי קוד ולסודות הענן שלהם.
thehackernews.comMiasma Worm Hits 73 Microsoft GitHub Repositories in ...
במאגרים שנפגעו הופיעה הודעה אפורה שלפיה הגישה למאגר הושבתה על ידי צוות GitHub בשל הפרת תנאי השירות .
נקודת ההתחלה: חבילות npm של Red Hat
הקמפיין נחשף לראשונה ב-1 ביוני, כאשר חוקרי אבטחה מ-Aikido ומ-OX Security זיהו קוד זדוני בחבילות תחת מרחב השמות @redhat-cloud-services ב-npm. החבילות משמשות רכיבים של Red Hat Hybrid Cloud Console. בסך הכול נפגעו 32 חבילות ו-96 גרסאות זדוניות, עם כ-117 אלף הורדות שבועיות במצטבר .
האירוע לא נבע רק מדליפה של אסימון פרסום ל-npm. לפי החוקרים, התוקפים השתלטו על חשבון GitHub של עובד Red Hat והשתמשו בו כדי להחדיר commits זדוניים לצינור ה-CI/CD של RedHatInsights/javascript-clients. כך הם ניצלו את מנגנון הפרסום המהימן של GitHub, המבוסס על OIDC, ופרסמו חבילות שנראו לגיטימיות ואף נשאו אישורי מקוריות מסוג SLSA .
החבילות כללו סקריפט preinstall, שמופעל אוטומטית בעת התקנת החבילה. הסקריפט הוריד מטען זדוני בגודל 28 ק״ב, שנועד לגנוב פרטי התחברות. הנוזקה זוהתה כווריאנט חדש של משפחת Mini Shai-Hulud, שכונה Miasma, ונקשרה לקבוצת האיום TeamPCP — אף שלא ניתן לשלול שימוש בקוד על ידי גורמי חיקוי .
כיצד התולעת התפשטה?
Miasma שילבה כמה שיטות תקיפה, ובהן הרעלה של מאגרי תוכנה, גניבת סודות והתפשטות עצמאית:
הרעלת npm: גרסאות נגועות הפעילו את המטען מיד לאחר שפתח מפתח בהרצת npm install.
התפשטות עצמית: לאחר ההדבקה, התולעת חיפשה אסימוני GitHub, אסימוני npm ופרטי גישה נוספים, והשתמשה בהם כדי להעלות קוד זדוני למאגרים שבהם הקורבן יכול לפרסם .
גניבת סודות: המטען כוון לפרטי גישה של AWS, Azure, GCP, Kubernetes ו-HashiCorp Vault, וכן למפתחות SSH, משתני סביבה, ארנקי מטבעות דיגיטליים ולנתוני תצורה של יותר מ-90 כלי פיתוח .
ניצול פרסום מהימן: השתלטות על חשבון עובד אפשרה לתוקפים להפעיל את תהליך הפרסום הלגיטימי של GitHub, כך שהחבילות הזדוניות נראו כאילו נבנו ופורסמו באופן תקין .
החידוש המסוכן: תקיפה של כלי קידוד מבוססי AI
בשלב שהגיע למיקרוסופט, התוקפים לא הסתפקו בהחדרת קוד לחבילה או למאגר. הם הוסיפו קובצי תצורה שנועדו לכלי קידוד מבוססי בינה מלאכותית.
כאשר מפתח פתח את המאגר בכלים כמו Claude Code, Gemini CLI, Cursor או VS Code, הקבצים עלולים להיקרא אוטומטית ולגרום לכלי לבצע הוראות שהושתלו על ידי התוקפים. הוראות אלה נועדו להפעיל מטען לגניבת פרטי התחברות .
המשמעות היא שכלי AI, שאמורים לסייע למפתח להבין קוד ולבצע משימות, עלולים להפוך — אם אינם מוגדרים ומפוקחים כראוי — לנקודת ביצוע של הוראות זדוניות מתוך מאגר שנפרץ.
מה נעשה בעקבות האירוע?
ב-5 ביוני GitHub השביתה 73 מאגרי מיקרוסופט בסריקה אוטומטית שנמשכה 105 שניות .
Red Hat פרסמה את ההתרעה RHSB-2026-006, ביטלה אסימוני npm ופרטי פרסום שנפגעו והסירה את החבילות הזדוניות מהמרשם .
Microsoft Threat Intelligence פרסמה ב-2 ביוני ניתוח של שרשרת התקיפה והנחיות לזיהוי .
חוקרי אבטחה המליצו למי שהתקין גרסאות מושפעות להחליף מיד סודות CI, פרטי גישה לענן, מפתחות SSH ואסימוני npm, לבדוק את צינורות ה-CI/CD ולחפש commits בלתי מורשים .
בין סימני הזיהוי שנמסרו הייתה המחרוזת "Miasma – The Spreading Blight".
האיום הרחב יותר: IronWorm וסכנת החיקויים
Miasma לא הייתה האירוע היחיד שנחשף באותה תקופה. ב-5 ביוני דיווחו Endor Labs ו-StepSecurity על קמפיין נפרד אך מקביל, שכונה IronWorm. בקמפיין זה נפגעו 57 חבילות npm ביותר מ-286 גרסאות זדוניות, שנועדו להפיץ וריאנט חדש של תולעת Miasma . החוקרים תיארו גם שימוש לרעה בקובצי binding.gyp לצורך הפעלת קוד .
ה-Cloud Security Alliance הזהירה כי גם אם הקמפיין המקורי מיוחס ל-TeamPCP, בסיס הקוד של התולעת פורסם לציבור. לכן לא ניתן לשלול גורמי חיקוי שישתמשו באותם כלים או בגרסאות ששונו שלהם .
האירועים ממחישים את הסיכון המרכזי במתקפות שרשרת אספקה: התוקף אינו חייב לפרוץ ישירות למערכת היעד. די לעיתים בהשתלטות על חשבון מפתח, חבילה נפוצה או תהליך פרסום מהימן כדי להגיע למפתחים, למאגרי קוד ולסודות הענן שלהם.
thehackernews.comMiasma Worm Hits 73 Microsoft GitHub Repositories in ...
