答案已發布22 個來源
Megalodon GitHub 供應鏈攻擊：6 小時入侵 5,500 多個儲存庫的自動化行動
2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17] 攻擊者使用假 CI 機器人帳號與偽造提交資訊，將惡意提交偽裝成日常自動化維護，同時鎖定缺乏分支保護（branch protection）的專案直接推送工作流程檔案。[17][23] 攻擊發生前後，GitHub 也披露一起與惡意 VS Code 擴充套件相關的事件，約 3,800 個內部儲存庫被存取；目前沒有公開證據證明兩者之間存在直接關聯。[2][3]
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
一場針對 GitHub CI/CD 的大規模自動化攻擊
2026 年 5 月 18 日，資安研究人員揭露了一場代號 「Megalodon」 的供應鏈攻擊。攻擊者在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，成為 GitHub 平台上規模最大的自動化「儲存庫投毒」（repository poisoning）行動之一。
與傳統攻擊不同，攻擊者並沒有修改專案的核心程式碼，而是插入 惡意 GitHub Actions 工作流程檔案。當專案的 CI/CD 自動化流程執行時，這些工作流程就會在 runner 環境中執行腳本並嘗試竊取機密資訊。
研究顯示整個攻擊發生在 11:36 至 17:48（UTC） 之間，顯示攻擊完全由自動化工具驅動，目的是在維護者發現前快速滲透大量專案。
攻擊者如何在短時間內推送數千次惡意提交
這次行動結合了自動化與「社交偽裝」，讓惡意提交看起來像正常的 CI 維護更新。
偽裝成 CI 機器人的帳號
攻擊者建立大量一次性 GitHub 帳號，並使用看似自動化工具的名稱，例如：
- build-bot
- auto-ci
- ci-bot
- pipeline-bot
這些名稱讓提交看起來像是自動化系統產生，而不是駭客操作。
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
大家也會問
「Megalodon GitHub 供應鏈攻擊：6 小時入侵 5,500 多個儲存庫的自動化行動」的簡短答案是什麼？
2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17]
最值得優先驗證的重點是什麼？
2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17] 攻擊者使用假 CI 機器人帳號與偽造提交資訊，將惡意提交偽裝成日常自動化維護，同時鎖定缺乏分支保護（branch protection）的專案直接推送工作流程檔案。[17][23]
接下來在實務上該怎麼做？
攻擊發生前後，GitHub 也披露一起與惡意 VS Code 擴充套件相關的事件，約 3,800 個內部儲存庫被存取；目前沒有公開證據證明兩者之間存在直接關聯。[2][3]
來源
- neuracybintel.comMegalodon GitHub Attack Hits 5,561 Repositories with ...
- thehackernews.comMegalodon GitHub Attack Targets 5,561 Repos with Malicious CI ...
- stepsecurity.ioMegalodon: Mass GitHub Actions Secret Exfiltration ... - StepSecurity
- pasqualepillitteri.itMegalodon Malware: 5,561 GitHub Repos Compromised in 6 Hours ...
- hackread.com5,561 GitHub Repositories Hit by Megalodon Supply Chain Attack in ...