Очередной взлом GitHub action с подменой старый версий для заражения CI.
Очередной пример, что в workflow надо фиксировать action по sha-коммита, а не по версии.
В JS-проектах используйте actions-up
https://github.com/azat-io/actions-up
В остальных — pinact.
https://socket.dev/blog/trivy-under-attack-again-github-actions-compromise
Андрей Ситник
npub1xs…3tcrj
2026-03-23 16:56:59 UTC
Author Public Key
npub1xsjvfpz964zxtx54l9vjrslg4fvspkl77dz5vyhkqyrek64kde6qk3tcrjSeen on
wss://relay.mostr.pubPublished at
2026-03-23 16:56:59 UTCEvent JSON
{
"id": "f135b99fced2fbd9e1a4efbb0a9589a586da1f23d2e7ddf0899cafab50883f17",
"pubkey": "3424c48445d544659a95f95921c3e8aa5900dbfef3454612f601079b6ab66e74",
"created_at": 1774285019,
"kind": 1,
"tags": [
[
"proxy",
"https://mastodon.social/users/sitnik_ru/statuses/116279543068401311",
"activitypub"
],
[
"client",
"Mostr",
"31990:6be38f8c63df7dbf84db7ec4a6e6fbbd8d19dca3b980efad18585c46f04b26f9:mostr",
"wss://relay.ditto.pub"
]
],
"content": "Очередной взлом GitHub action с подменой старый версий для заражения CI.\n\nОчередной пример, что в workflow надо фиксировать action по sha-коммита, а не по версии.\n\nВ JS-проектах используйте actions-up\nhttps://github.com/azat-io/actions-up\n\nВ остальных — pinact.\n\nhttps://socket.dev/blog/trivy-under-attack-again-github-actions-compromise",
"sig": "5e30832aa9564814dd69d7bec5746f9722da2015b8fd8b0dbf65b1fdc50758501ee8ba6583df2ca9500e84dc3f96236f38693a7819c16d17156f7cc5f8bde7a3"
}