studio
global Ask Studio Global AI

答案已發布4 個月前Last edited 上個月22 個來源

Megalodon GitHub 供應鏈攻擊：6 小時入侵 5,500 多個儲存庫的自動化行動

2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17] 攻擊者使用假 CI 機器人帳號與偽造提交資訊，將惡意提交偽裝成日常自動化維護，同時鎖定缺乏分支保護（branch protection）的專案直接推送工作流程檔案。[17][23] 攻擊發生前後，GitHub 也披露一起與惡意 VS Code 擴充套件相關的事件，約 3,800 個內部儲存庫被存取；目前沒有公開證據證明兩者之間存在直接關聯。[2][3]

發布者使用 GPT-5.5 編輯圖片由 GPT Image 2 生成

使用 Studio Global AI 搜尋並查證事實瀏覽更多熱門頁面

研究答案

重點整理

2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17]
攻擊者使用假 CI 機器人帳號與偽造提交資訊，將惡意提交偽裝成日常自動化維護，同時鎖定缺乏分支保護（branch protection）的專案直接推送工作流程檔案。[17][23]
攻擊發生前後，GitHub 也披露一起與惡意 VS Code 擴充套件相關的事件，約 3,800 個內部儲存庫被存取；目前沒有公開證據證明兩者之間存在直接關聯。[2][3]

Illustration representing the Megalodon GitHub supply chain attack inserting malicious commits into thousands of repositories — What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits intoThe “Megalodon” campaign injected thousands of malicious commits and poisoned CI workflows across GitHub repositories in a matter of hours.
AI 提示詞
Create a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
openai.com

一場針對 GitHub CI/CD 的大規模自動化攻擊

2026 年 5 月 18 日，資安研究人員揭露了一場代號 「Megalodon」 的供應鏈攻擊。攻擊者在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，成為 GitHub 平台上規模最大的自動化「儲存庫投毒」（repository poisoning）行動之一。

與傳統攻擊不同，攻擊者並沒有修改專案的核心程式碼，而是插入 惡意 GitHub Actions 工作流程檔案。當專案的 CI/CD 自動化流程執行時，這些工作流程就會在 runner 環境中執行腳本並嘗試竊取機密資訊。

Studio Global AI

繼續深入研究

這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。

使用 Studio Global AI 搜尋並查證事實

大家也會問

「Megalodon GitHub 供應鏈攻擊：6 小時入侵 5,500 多個儲存庫的自動化行動」的簡短答案是什麼？

2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17]

最值得優先驗證的重點是什麼？

2026 年 5 月 18 日，一場名為「Megalodon」的自動化供應鏈攻擊在約 6 小時內向 5,561 個 GitHub 儲存庫推送 5,718 次惡意提交，插入帶有後門的 GitHub Actions 工作流程以竊取 CI/CD 憑證。[16][17] 攻擊者使用假 CI 機器人帳號與偽造提交資訊，將惡意提交偽裝成日常自動化維護，同時鎖定缺乏分支保護（branch protection）的專案直接推送工作流程檔案。[17][23]

接下來在實務上該怎麼做？

攻擊發生前後，GitHub 也披露一起與惡意 VS Code 擴充套件相關的事件，約 3,800 個內部儲存庫被存取；目前沒有公開證據證明兩者之間存在直接關聯。[2][3]

來源