Вредоносная атака на Trivy GitHub Action: угроза для CI/CD-процессов

В марте 2026 года появились сообщения о потенциальной атаке на официальный GitHub Action сканера уязвимостей Trivy (aquasecurity/trivy-action), используемого в процессах непрерывной интеграции и доставки (CI/CD). Согласно публикации на BleepingComputer и официальному уведомлению Aqua Security в их блоге, были выявлены подозрительные изменения в одном из релизов этого Action. Вендор сообщил о расследовании инцидента и отзыве скомпрометированных версий с последующим выпуском исправленных релизов. Конкретные версии и теги, затронутые инцидентом, не были официально раскрыты.

Подробности инцидента

По информации из открытых источников, злоумышленники получили возможность вносить изменения в репозиторий GitHub Action Trivy, что позволило им модифицировать несколько тегов версий. В результате, при автоматическом запуске сканера в CI/CD-пайплайнах, мог исполняться вредоносный код. Сообщество безопасности сообщало о признаках компрометации, а Aqua Security подтвердила факт расследования инцидента и предпринятые меры по отзыву скомпрометированных версий и выпуску исправленных релизов.

Точные детали о способе получения злоумышленниками доступа к репозиторию официально не раскрываются. По неподтверждённым данным, компрометация могла произойти через уязвимости в управлении доступом к репозиторию или связанные с токенами доступа, однако официальных подтверждений этому нет. Также отмечается, что вредоносный код мог использоваться для выполнения других вредоносных действий, но эти данные остаются предположениями.

Этот инцидент особенно опасен, поскольку Trivy широко используется для выявления уязвимостей в контейнерах и инфраструктуре, и его компрометация ставит под угрозу безопасность многих организаций, полагающихся на автоматизированные инструменты для обеспечения безопасности своих приложений и сервисов.

Почему это важно для организаций, управляющих внешней поверхностью атаки

Современные CI/CD-процессы тесно интегрированы с внешними репозиториями и инструментами, что создает дополнительные риски в цепочке поставок программного обеспечения. Компрометация популярного инструмента, такого как Trivy, показывает, что даже проверенные и широко используемые решения могут стать вектором атаки.

Организации, использующие Trivy или аналогичные инструменты, должны понимать, что уязвимости в цепочке поставок могут привести к:

• Утечке конфиденциальных данных, включая учетные данные и токены доступа
• Внедрению вредоносного кода в производственные среды
• Нарушению целостности и доверия к процессам разработки и развертывания
• Распространению атаки на другие компоненты инфраструктуры через скомпрометированные пайплайны

Таким образом, контроль и мониторинг внешних компонентов, используемых в CI/CD, становится критически важным элементом управления внешней поверхностью атаки.

Практические рекомендации для команд безопасности

Чтобы минимизировать риски, связанные с подобными атаками, специалистам по безопасности стоит обратить внимание на следующие меры:

• Регулярно проверять целостность используемых Action и библиотек. Используйте подписанные релизы и проверяйте хеш-суммы, чтобы убедиться, что используемые версии не были изменены злоумышленниками.
• Ограничить права доступа CI/CD-агентов. Минимизируйте объем прав и доступов, которыми обладают автоматизированные процессы, чтобы ограничить последствия возможной компрометации.
• Внедрять мониторинг и аудит использования внешних компонентов. Отслеживайте изменения в используемых репозиториях и действия, связанные с обновлением зависимостей.
• Использовать изолированные среды для выполнения CI/CD. Это поможет ограничить распространение вредоносного кода в случае атаки.
• Обучать команды разработчиков и DevOps. Повышайте осведомленность о рисках цепочки поставок и методах защиты от них.
• Рассмотреть использование платформ для управления внешней поверхностью атаки (EASM). Такие решения помогают выявлять и контролировать внешние зависимости и потенциальные уязвимости в инфраструктуре.

Данный инцидент подчеркивает необходимость комплексного подхода к безопасности цепочки поставок и постоянного контроля за внешними компонентами, используемыми в процессах разработки и развертывания. Только так можно снизить вероятность успешных атак и защитить критически важные системы и данные.

---

Источники:

• BleepingComputer: Trivy GitHub Action compromised
• Aqua Security Blog: Security Advisory on Trivy GitHub Action