Saldırgan çalınmış hesap bilgileriyle depoları tarayıp kötü amaçlı kod yerleştirdi; etkilenen depolardaki token, bulut anahtarları ve CI sırlarının hemen yenilenmesi gerekiyor.
Kodlama ajanları artık GitHub Actions içinde çalışabiliyor; ancak korumalar varsayılan olarak her yapılandırmayı kapsamıyor ve harcama sınırları kuruluşların ayarına göre değişebiliyor.
Git 2.56.1 ve 2.50-2.55 serisindeki yamalı sürümler, submodule'lerle birlikte özyinelemeli klonlanan makinelerde saldırgan kodun çalışmasına yol açan CVE-2026-111760 açığını kapatıyor.
GitHub, Actions iş akışlarındaki bağımlılıklar için lockfile desteğini 28 Ekim 2026'da herkese açtı; böylece çalıştırılan commit'ler etiketler veya dallar değişse bile sabit kalıyor.
Wiz, 850'den fazla hesapta 13.500'ü aşkın kötü amaçlı dal tespit etti; GitHub'ın koruması yalnızca herkese açık depoları kapsadığı için özel depolar ve Enterprise Server ortamları riske açık kalıyor.
GitHub, Eylül çalışmalarıyla ortak veritabanlarındaki baskıyı azalttı ve bazı iş yüklerini Azure’a taşıdı; ancak 30 Eylül hedefi tutmadı, Central US kapasite dengesi ve iki son olay sürecin bitmediğini gösterdi.
Yılın mayıs kampanyasına ait zararlı kod, iki GitHub Action deposu yeniden erişilebilir olunca version tag kullanan iş akışlarında tekrar çalışabildi.
Andrew Kelley, Zig’de AI ile üretilmiş kodları tamamen yasakladıklarını, bunun bakım ekibinin zamanını tükettiğini söylüyor; projeyi de GitHub Actions sorunları ve kurumsal baskı algısı nedeniyle Codeberg’e taşıdıklarını anlatıyor.