← Архив

#secrets

9 ноября 2026 г.November 9, 2026 день целиком 1 новостьstory

• Безопасность Важно Claude Code записал пароли в файл настроек: 1 122 публичных копии на GitHubClaude Code stored passwords in a settings file: 1,122 public copies on GitHub Apiiro нашла в публичных репозиториях 1 122 файла .claude/settings.local.json, в которых лежат пароли, токены и ключи: опция «да, больше не спрашивать» сохраняет команду целиком, вместе с секретом. Всего в них 1 379 секретов, включая 379 паролей к базам данных и 23 ключа AWS.Apiiro found 1,122 public .claude/settings.local.json files containing passwords, tokens and keys: the "yes, don't ask again" option stores the whole command, secret included. Together they hold 1,379 secrets, including 379 database passwords and 23 AWS keys.

3 ноября 2026 г.November 3, 2026 день целиком 1 новостьstory

• DevOps Важно Ansible 2.22 маскирует секреты автоматически — и ломает привычные проверки в логахAnsible 2.22 masks secrets automatically, and breaks the log checks you may rely on В ansible-core 2.22 появилось автоматическое скрытие секретов: значения из vault, no_log, пароли подключений и ввод prompt попадают в вывод как $REDACTED$. Заодно исчезли старые заглушки вроде VALUE_SPECIFIED_IN_NO_LOG_PARAMETER, на которые часто опираются тесты.ansible-core 2.22 adds automatic secret masking: vault values, no_log options, connection passwords and prompt input appear as $REDACTED$ in output. At the same time the old placeholders such as VALUE_SPECIFIED_IN_NO_LOG_PARAMETER are gone, which breaks tests that rely on them.

2 ноября 2026 г.November 2, 2026 день целиком 1 новостьstory

• DevOps Gitea 28.3.0 закрыла больше десятка дыр — в основном вокруг областей действия токеновGitea 28.3.0 fixes more than a dozen flaws, mostly around token scopes В Gitea 28.3.0 вошла большая пачка исправлений безопасности: токены с ограниченной областью действия обходили проверки, а токен CI-задачи мог видеть все приватные репозитории инстанса. Один из багов — запуск workflow с секретами из чужого коммита — нашла Anthropic.Gitea 28.3.0 ships a large batch of security fixes: scoped tokens bypassed checks, and an Actions job token could list every private repository on the instance. One flaw — workflows running with secrets from an attacker's commit — was reported by Anthropic.

1 ноября 2026 г.November 1, 2026 день целиком 1 новостьstory

• Безопасность Важно «Чёрный октябрь» для AI-платформ: у Northflank украли переменные окружения и жгли чужие API-ключиA black October for AI dev platforms: Northflank secrets stolen, customer AI keys abused Northflank после сигнала от Wiz попросила клиентов считать все переменные окружения расшифрованными и сменить ключи; позже компания подтвердила жалобы на несанкционированное использование AI-ключей клиентов. Wiz насчитала минимум девять инцидентов на платформах для AI-разработки за месяц.After a warning from Wiz, Northflank told customers to assume every environment variable had been decrypted and to rotate their keys; it later confirmed reports of unauthorised use of customer AI keys. Wiz counts at least nine incidents at AI developer platforms in a single month.

30 октября 2026 г.October 30, 2026 день целиком 1 новостьstory

• Безопасность За 43 минуты — 61 репозиторий: атакующий через issues и комментарии пытался вытащить секреты из CI61 repos in 43 minutes: attacker used issues and comments to try to pull secrets from CI Radware описала кампанию против GitHub-проектов, среди них Trivy, MLflow, Brave и Homebrew Cask. Команды прятали в HTML-комментариях issues и PR: уязвимые workflow подставляли текст в shell. Минимум в двух случаях код выполнился.Radware described a campaign against GitHub projects including Trivy, MLflow, Brave and Homebrew Cask. Commands hidden in HTML comments in issues and PRs were spliced into shell by vulnerable workflows; code ran in at least two cases.

27 октября 2026 г.October 27, 2026 день целиком 1 новостьstory

• Безопасность Кампания Gheist крадёт секреты GitHub Actions в 850+ аккаунтах через украденные токеныGheist campaign steals GitHub Actions secrets from 850+ accounts using stolen tokens Автоматизированная кампания пушит в репозитории вредоносный workflow, который печатает все секреты в base32 в обход маскировки и тут же удаляет запуск. Затронуты и приватные репозитории, и GitHub Enterprise Server; кампания продолжается.An automated campaign pushes a malicious workflow that prints every secret as base32 to bypass masking, then deletes the run. Private repos and GitHub Enterprise Server are hit too; the campaign is ongoing.

21 октября 2026 г.October 21, 2026 день целиком 1 новостьstory

• Безопасность Важно Railway: посторонние могли прочитать переменные окружения клиентов, деплои остановленыRailway: attackers may have read customer environment variables, deployments paused Облачная платформа Railway сообщила о несанкционированном доступе к системам, где хранятся переменные окружения, включая часть расшифрованных значений. Компания приостановила деплои и призывает всех клиентов ротировать секреты, не дожидаясь подтверждения.Cloud platform Railway disclosed unauthorized access to the systems that store environment variables, including some decrypted values. It paused deployments and urges all customers to rotate secrets without waiting for confirmation.

20 октября 2026 г.October 20, 2026 день целиком 1 новостьstory

• Безопасность Zeabur закрывается после второго взлома: утекли 3,2 млн переменных окруженияZeabur shuts down after a second breach exposing 3.2M environment variables Атакующий с утёкшими внутренними учётными данными прочитал базу платформы: переменные окружения и данные 321 810 аккаунтов. Админ-токены хранились открытым текстом и не ротировались с 2024 года; сервис прекратит работу к 31 декабря.An attacker with leaked internal credentials read the platform database: environment variables and data for 321,810 accounts. Admin tokens were stored in plaintext and unrotated since 2024; the service will shut down by Dec 31.