GitGuardian, 22 Eylül 2026’da yayımladığı araştırmada kamuya sızmış GitHub App özel anahtarlarını test ettiğini duyurdu. Şirkete göre 500 binden fazla RSA anahtarından GitHub bağlamında ayıklanan 4.802 anahtarın 474’ü (yaklaşık yüzde 10) hâlâ GitHub API’sinde kimlik doğrulaması yapabiliyordu; bunlar 440 ayrı uygulamaya karşılık geliyor.
Araştırmaya göre etkilenen uygulamaların yüzde 72’si özel depo içeriğine okuma izni taşıyordu; 207’si yazma iznine sahipti. 44 uygulamada kurum yönetimi (organization admin) yetkisi vardı. GitGuardian, GitHub App özel anahtarlarının süresinin dolmadığını ve elle silinene kadar geçerli kaldığını vurguluyor.
Örnek vakalar arasında “Access Tokens for GitHub Actions” (yaklaşık 300 kurulum; anahtar döndürüldü), BuildBuddy’nin yerel geliştirme uygulaması (kaldırıldı; kötüye kullanım izi bildirilmedi), bakımsız Crusher.dev uygulaması ve ABD Hastalık Kontrol ve Önleme Merkezleri (CDC) ile ilişkili cdcent organizasyonundaki bir özel uygulama yer alıyor. CDC tarafında anahtar Nisan 2025’te CDCGov deposunda sızmıştı; GitGuardian 4 Eylül’de HHS Responsible Disclosure üzerinden bildirdi, 9 Eylül’de alındı onayı geldi ve kimlik bilgileri 18 Eylül’de iptal edildi.
Şirket, sızmış anahtarların çoğunun tek kurulumlu iç otomasyon araçlarına ait olduğunu; unutulan anahtarların tedarik zincirinde uzun süre açık kapı bırakabildiğini yazıyor. Bağımsız CDC kamu açıklaması bu yazıda doğrulanmadı; anlatılan süreç GitGuardian’ın kendi ifşa zaman çizelgesine dayanıyor.
Kapak temsili bir kod ekranıdır; GitGuardian paneli, GitHub veya CDC sistemi göstermez.
Kaynaklar
Sık sorulan sorular
GitGuardian kaç anahtarın hâlâ çalıştığını söyledi?
Şirkete göre test edilen 4.802 GitHub App özel anahtarından 474’ü hâlâ API’de kimlik doğrulaması yapıyordu; bunlar 440 uygulamaya karşılık geliyor.
CDC anahtarı ne durumda?
GitGuardian’a göre CDC ile ilişkili cdcent uygulamasının anahtarı 4 Eylül’de bildirildi, 18 Eylül’de iptal edildi. Bu yazı CDC’nin ayrı bir kamu açıklamasını doğrulamaz.
