studio
global Ask Studio Global AI

答案已發布4 個月前Last edited 上個月22 來源

Megalodon GitHub供應鏈攻擊：6小時內5,700個惡意提交點樣滲入5,500個倉庫？

2026年5月18日，一個名為「Megalodon」的自動化供應鏈攻擊在約6小時內向5,561個GitHub倉庫推送5,718個惡意提交，主要透過插入受污染的GitHub Actions工作流程竊取CI/CD秘密與雲端憑證。[16][17] 攻擊者利用假CI機械人帳號、偽造提交資料，以及針對分支保護不足的倉庫，直接把惡意工作流程推到主分支，令惡意程式在CI運行時自動執行。[17][23] 同一時間段附近，GitHub亦披露另一宗事件：員工電腦因安裝被投毒的VS Code擴充套件而導致約3,800個內部倉庫被存取，但目前沒有公開證據證明兩宗事件有直接關聯。[2][3]

發布者使用 GPT-5.5 編輯圖片由 GPT Image 2 生成

使用 Studio Global AI 搜尋並查核事實瀏覽更多熱門頁面

研究答案

重點

2026年5月18日，一個名為「Megalodon」的自動化供應鏈攻擊在約6小時內向5,561個GitHub倉庫推送5,718個惡意提交，主要透過插入受污染的GitHub Actions工作流程竊取CI/CD秘密與雲端憑證。[16][17]
攻擊者利用假CI機械人帳號、偽造提交資料，以及針對分支保護不足的倉庫，直接把惡意工作流程推到主分支，令惡意程式在CI運行時自動執行。[17][23]
同一時間段附近，GitHub亦披露另一宗事件：員工電腦因安裝被投毒的VS Code擴充套件而導致約3,800個內部倉庫被存取，但目前沒有公開證據證明兩宗事件有直接關聯。[2][3]

Illustration representing the Megalodon GitHub supply chain attack inserting malicious commits into thousands of repositories — What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits intoThe “Megalodon” campaign injected thousands of malicious commits and poisoned CI workflows across GitHub repositories in a matter of hours.
AI 提示
Create a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
openai.com

6小時內席捲GitHub的大規模CI/CD攻擊

2026年5月18日，安全研究人員揭露一宗名為 「Megalodon」 的軟件供應鏈攻擊。攻擊者在大約 6小時內向5,561個GitHub倉庫推送5,718個惡意提交，被認為是GitHub歷來最大型的自動化倉庫污染（repo poisoning）事件之一。

與傳統直接修改應用程式碼不同，攻擊者主要做的是 插入惡意GitHub Actions工作流程（workflow）。當倉庫的CI/CD自動化流程運行時，這些工作流程會在CI runner內執行腳本，嘗試收集並外傳敏感憑證。

Studio Global AI

繼續你的研究

此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。

使用 Studio Global AI 搜尋並查核事實

人們還問

「Megalodon GitHub供應鏈攻擊：6小時內5,700個惡意提交點樣滲入5,500個倉庫？」的簡短答案是什麼？

2026年5月18日，一個名為「Megalodon」的自動化供應鏈攻擊在約6小時內向5,561個GitHub倉庫推送5,718個惡意提交，主要透過插入受污染的GitHub Actions工作流程竊取CI/CD秘密與雲端憑證。[16][17]

首先要驗證的關鍵點是什麼？

2026年5月18日，一個名為「Megalodon」的自動化供應鏈攻擊在約6小時內向5,561個GitHub倉庫推送5,718個惡意提交，主要透過插入受污染的GitHub Actions工作流程竊取CI/CD秘密與雲端憑證。[16][17] 攻擊者利用假CI機械人帳號、偽造提交資料，以及針對分支保護不足的倉庫，直接把惡意工作流程推到主分支，令惡意程式在CI運行時自動執行。[17][23]

接下來在實務上我該做什麼？

同一時間段附近，GitHub亦披露另一宗事件：員工電腦因安裝被投毒的VS Code擴充套件而導致約3,800個內部倉庫被存取，但目前沒有公開證據證明兩宗事件有直接關聯。[2][3]

來源