A conta oficial do GitHub, @github, publicou uma mensagem no X às 7h48 do dia 20 de maio, horário de Pequim, confirmando que está investigando um caso de acesso não autorizado a repositórios internos do GitHub. Atualmente, “não há evidências de que informações de clientes armazenadas fora dos repositórios internos do GitHub (incluindo contas corporativas, organizações e repositórios) tenham sido afetadas”. A empresa também afirmou estar monitorando constantemente sua infraestrutura e notificará os usuários por meio dos canais habituais de resposta a incidentes caso algum impacto seja detectado. O estopim direto do incidente foi uma publicação assinada por “TeamPCP” no fórum de crimes cibernéticos hackrisk.io, na qual se alega ter roubado códigos-fonte internos do GitHub e dados de organizações; cerca de 4.000 repositórios privados foram colocados à venda por um mínimo de 50 mil dólares. Na postagem, o grupo enfatizou que “isso não é um ransomware”: prometeu apagar os dados após vender as informações a apenas um comprador, e, caso não encontre comprador, divulgá-las gratuitamente. Apenas 45 minutos depois, o GitHub respondeu oficialmente ao caso.
Conforme reportado pelo The Hacker News, o TeamPCP é um grupo de ameaças conhecido por ter realizado diversos ataques contra a cadeia de suprimentos de softwares de código aberto, mantendo ligação com os criadores do malware Shai-Hulud. É importante destacar que este incidente é independente do problema relacionado à vulnerabilidade CVE-2026-3854, revelada em março: trata-se de uma falha de execução remota descoberta pela Wiz, que o GitHub corrigiu antes mesmo de ser explorada. Verificou-se que a CVE-2026-3854 jamais foi efetivamente utilizada, enquanto o acesso aos repositórios internos mencionado agora constitui um novo incidente de segurança, cujo vetor de ataque ainda não foi divulgado. Até o fechamento desta matéria, a investigação prossegue, sem que tenham sido revelados nem o escopo exato dos repositórios afetados nem os caminhos de ataque utilizados.