GitHub Actions

GitHub zet API Requests, Issues, Pull Requests, Actions en Copilot op major outage. Het incident loopt sinds 15.40 uur zonder bekende oorzaak, met 20 procent fouten op het web en 50 procent op downloads.

VS Code 1.144 brengt beeldgeneratie, experimentele desktopbediening en cloudautomatisering naar Copilot. De functies werken in verschillende omgevingen en hebben aparte voorwaarden voor AI-credits, toestemming, repositorytoegang en beheer.

Een vergeten masterkey gaf aanvallers toegang tot een GitHub-ownertoken bij LiteLLM. Gestolen maintainer-tokens brachten versie 1.107.0 door een productiepoort die die week tijdelijk was versoepeld.

Een leverancier wijzigt je API of authenticatie. Met deze methode inventariseer je de impact, test je oud en nieuw naast elkaar, laat je bewust vrijgeven en houd je een terugvalpad dat met data rekening houdt.

Google Threat Intelligence Group beschrijft hoe een financieel gemotiveerde aanvaller in minder dan zes uur een autonome campagne bouwde die duizenden credentials oogstte. De inzet voor Nederlandse bedrijven ligt bij de grenzen rond cloud-, CI/CD- en agenttoegang.

De AFP klaagt twee mannen aan als hoofdrolspelers achter TeamPCP. Politie en FBI zetten er cijfers bij: ruim duizend geraakte organisaties, 500.000 gestolen inloggegevens en honderden miljoenen dollars aan herstelkosten.

GitHub noemt de oorzaak van de storing van 17 augustus: een schaalregel die naar de verkeerde limiet keek, plus een retry-bug in VS Code die het Copilot-tokenverkeer vertienvoudigde. Het incident duurde 7 uur en 47 minuten.

Aanvallers kaapten de release-pijplijn van vier veelgebruikte AsyncAPI-pakketten op npm en publiceerden versies met een inloggegevens-steler, waaronder @asyncapi/specs met ruim 2 miljoen wekelijkse downloads. Wie ze gebruikt, controleert nu en roteert tokens.

De FBI bracht een officiele waarschuwing uit voor TeamPCP, die breed gebruikte ontwikkel- en beveiligingstools vergiftigde. De concrete raad: installeer een pakket pas na een minimale leeftijd van zeven dagen.

Aanvallers kaapten een vergeten beheerdersaccount en injecteerden in ruim honderdveertig pakketten van het populaire AI-framework Mastra een wachtwoordsteler. Wie npm install draaide, liep risico, ook zonder de code te gebruiken.