Investigadores identificaram uma campanha de cibersegurança que utiliza comentários HTML para executar comandos maliciosos em repositórios públicos na GitHub.
Uma campanha de ataques coordenada visou pelo menos 61 repositórios públicos na plataforma GitHub, incluindo projetos de grande dimensão como o Brave browser, Trivy e MLflow. Segundo investigadores da Radware, os atacantes utilizaram uma técnica que explora a forma como os sistemas de integração e entrega contínua (CI/CD) processam eventos, permitindo a execução de comandos maliciosos sem que estes sejam visíveis na interface da plataforma.
Como funciona o ataque
O método baseia-se na inserção de comandos maliciosos dentro de comentários HTML em problemas (issues), pedidos de integração (pull requests) ou comentários gerais. Como estes comentários não são renderizados na interface visual, o código permanece oculto para os utilizadores. Quando o repositório está configurado para responder automaticamente a eventos da GitHub, o fluxo de trabalho (workflow) é acionado e executa o comando malicioso, que tenta extrair variáveis de ambiente e credenciais para servidores controlados pelos atacantes.
Os investigadores notaram que a maioria dos 83 ataques identificados ocorreu num intervalo de apenas 43 minutos no dia 1 de setembro. A utilização de 74 contas diferentes, muitas com histórico legítimo de desenvolvimento, sugere uma campanha coordenada, possivelmente resultante de contas comprometidas.
Impacto e recomendações
Embora os investigadores não tenham confirmado se os atacantes obtiveram permissões de escrita ou modificaram código-fonte, o risco para a cadeia de fornecimento de software é elevado, dado que os projetos afetados são utilizados por milhares de organizações. Os mantenedores dos repositórios foram notificados e a maioria das vulnerabilidades terá sido corrigida.
Para mitigar este risco, recomenda-se a aplicação do princípio do privilégio mínimo nos workflows de CI/CD, a separação de tarefas com permissões elevadas de eventos externos e o tratamento de qualquer conteúdo proveniente de fontes externas como não confiável.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora
Gemini 4 Carbon: A nova aposta da Google para agentes de desenvolvimento