GitHub、「Nx Console」拡張機能の汚染で内部リポジトリ約3,800個が流出

GitHubは​2026年5月18日​​、サードパーティによって公開された「汚染されたMicrosoft Visual Studio Code (VS Code) 拡張機能」に従業員デバイスが侵害され、GitHub内部リポジトリへの不正アクセスが発生したことを公表しました。 影響を受けたのは、ビルド管理ツール用拡張機能「​Nx Console​」（脆弱性アドバイザリ: GHSA-c9j4-9m59-847w​）の悪意あるバージョンであり、これをインストールした従業員のエンドポイントが乗っ取られたことが原因です。

GitHubの初期調査によると、被害は​​約3,800​の内部リポジトリの流出に限定されているとのことです。 この件に対し、著名な脅威アクター「​TeamPCP​」（別名: UNC6780​）とサイバー犯罪グループ「​LAPSUS$​」が共同で関与を主張し、流出したソースコード等のデータをフォーラムで​95,000米ドル​​（当初は単独で50,000米ドル）で販売開始しました。 販売対象データには、GitHub Actions、エージェントワークフロー（agentic workflows）、Copilot内部プロジェクト、CodeQLツール、さらには組織やプルリクエストを管理するRailsコントローラーコードなどが含まれていると報じられています。

現時点で、顧客専用のエンタープライズ、組織、プライベートリポジトリなど、内部リポジトリの「外部」に保存されている顧客データへの影響を示す証拠は見つかっていません。 ただし、一部の内部リポジトリには顧客サポートのやり取りの抜粋などが含まれている可能性があり、GitHubは影響が確認された顧客に対して直接通知する方針を示しています。 GitHubは検知後直ちに悪意ある拡張機能のバージョンを削除して当該端末を隔離し、​5月18日から19日​​にかけて影響の大きい重要なシークレットのローテーションを優先して実施するなどの迅速な防御措置を講じました。