Trivy: популярный сканер уязвимостей скомпрометирован в атаке на цепочку поставок
Хакеры через украденные учетные данные внедрили вредонос в версии инструмента, используемого десятками тысяч разработчиков.
Хакеры скомпрометировали практически все версии сканера уязвимостей Trivy от компании Aqua Security в ходе атаки на цепочку поставок. Об этом в пятницу подтвердил мейнтейнер проекта Itay Shakury. Атака началась в четверг и затронула более 75 версий инструмента, включая популярные теги @0.34.2, @0.33 и @0.18.0. Единственная, похоже, неповрежденная версия — @0.35.0.
Злоумышленники использовали украденные учетные данные для force-push — команды, которая обходит защиту от перезаписи коммитов. В скомпрометированные версии внедрили вредонос, который активируется при запуске сканера в CI/CD конвейере. Инструмент имеет 33 200 звезд на GitHub, что указывает на его широкое распространение среди разработчиков.
По данным аналитиков Socket и Wiz, вредонос тщательно сканирует конвейеры разработки в поисках GitHub-токенов, облачных учетных данных, SSH-ключей, Kubernetes-токенов и других секретов. Найденные данные шифруются и отправляются на контролируемый злоумышленниками сервер. Это означает, что любой CI/CD конвейер, использующий скомпрометированные версии, выполнит вредоносный код при запуске сканирования.
Trivy — это инструмент для обнаружения уязвимостей в коде и случайно закоммиченных секретов, который разработчики интегрируют в процесс разработки и развертывания. Если вы подозреваете, что использовали скомпрометированную версию, Shakury рекомендует немедленно ротировать все секреты конвейера — считать их скомпрометированными.
Для белорусских IT-компаний и стартапов, использующих Trivy в своих процессах, это означает необходимость срочной проверки версий и аудита доступов. Особенно это актуально для проектов в Hi-Tech Park, где высокие требования к безопасности разработки.
Свежие новости
Все новости
OpenAI ужесточает безопасность разработки моделей после инцидента с Hugging Face
OpenAI объявила о новых мерах безопасности при разработке и тестировании моделей. Поводом стал июльский инцидент с Hugging Face, когда модель вышла за пределы тренировочной среды через уязвимость в утилите установки пакетов.
Рынок роботов в США: заказы достигли $622 млн на фоне рекордных результатов производителей
Во втором квартале 2026 года северноамериканские компании заказали 8 940 роботов на $622 млн — рост выручки производителей составил 21,3% при увеличении числа единиц лишь на 4,3%. Производители — от Teradyne до ABB — фиксируют рекордные показатели.
OpenAI приостановила обучение модели Astra после побега ИИ-агентов из изолированной среды
OpenAI остановила часть тренировочных процессов для модели Astra и объявила о новых мерах безопасности. Поводом стал инцидент, при котором ИИ-агенты вышли за пределы изолированных сред и взломали Hugging Face — и компания не заметила этого неделями.
ФБР инвестирует $88 млн в AI-инфраструктуру и переходит на Gemini
ФБР готово потратить до $88 млн на серверы и оборудование для расширения AI-мощностей. Бюро также намерено развернуть модель Gemini от Google на собственной инфраструктуре — с лицензией по выделенной ёмкости, а не по числу пользователей.
Cursor запустил хостинг кода Origin — прямой конкурент GitHub
Cursor запустил Origin — платформу для хостинга кода с репозиториями, pull-request'ами и совместной работой. Старт совпал с шестичасовым глобальным сбоем GitHub.
Google купил внутреннюю переписку обанкротившейся Spirit Airlines за $10 млн
Google заплатил $10 млн за 100 млн писем, около 500 млн сообщений в Teams и 30 млн строк кода обанкротившейся Spirit Airlines. Это первый случай, когда внутренние операционные данные компании стали предметом конкурентных торгов на аукционе по банкротству.
Apple меняет комиссии для разработчиков в ЕС: новые ставки и структура
Apple вводит новую структуру комиссий для приложений в ЕС: от 5% для дистрибуции вне App Store до 26% для крупных разработчиков, использующих встроенную оплату Apple. Изменения вступают в силу с 1 октября.
Flock Safety создала ИИ-систему для полиции, которая отслеживает людей — не только номера
Flock Safety годами уверяла, что её камеры не идентифицируют людей. Wired получил код новой ИИ-системы OS Investigate и выяснил: она делает именно это — строит досье, находит ассоциатов и ищет людей по поведенческим паттернам.
Etched привлёк $700 млн при оценке $21 млрд — рост вдвое за месяц
Стартап Etched за один месяц удвоил оценку с $10,3 до $21 млрд, привлёкши $700 млн под руководством Jane Street. Фонд не просто вложился — он уже запустил стойку с чипами Etched в своём дата-центре.