Исследователи Wiz обнаружили критическую уязвимость в инфраструктуре GitHub с помощью ИИ

Специалисты компании Wiz выявили серьезную уязвимость в системе обработки запросов GitHub, которая позволяла злоумышленникам получить полный доступ к чтению и записи данных в закрытых репозиториях. Инцидент демонстрирует эффективность применения нейросетей для анализа сложных программных продуктов с закрытым исходным кодом.

Прорыв в анализе безопасности

Исследователи Wiz на протяжении двух лет пытались изучить внутреннюю архитектуру GitHub, однако масштаб системы делал процесс обратной разработки крайне трудоемким. Использование ИИ-инструментов, включая специализированный агент Claude Code, позволило сократить время от формирования гипотезы до создания работающего эксплойта менее чем до 48 часов. Ранее подобная задача потребовала бы нескольких месяцев работы экспертов высокой квалификации.

По словам представителей Wiz, внедрение автоматизированных методов анализа с применением нейросетей позволяет:

• оперативно изучать скомпилированные бинарные файлы крупных систем;
• реконструировать внутренние протоколы взаимодействия сервисов;
• систематически определять участки кода, где пользовательский ввод влияет на поведение сервера.

Суть уязвимости

Ошибка была зарегистрирована под идентификатором CVE-2026-3854 и получила оценку 8,8 балла из 10 по шкале CVSS. Проблема заключалась в некорректной обработке параметров push-запросов. Серверы GitHub без должной проверки принимали пользовательские данные, передаваемые в формате «ключ-значение», и использовали их для формирования метаданных внутренних HTTP-заголовков.

Злоумышленники могли использовать специальный символ (нулевой байт) для манипуляции метаданными, что позволяло внедрять доверенные внутренние значения в запрос. Первоначально уязвимость была подтверждена на платформе GitHub Enterprise Server, однако последующий анализ показал, что аналогичный метод атаки применим и к основной версии сервиса GitHub.com.

Реакция GitHub

Команда безопасности GitHub устранила угрозу в течение шести часов после получения данных от Wiz. Представители площадки подтвердили, что на текущий момент не зафиксировано случаев эксплуатации данной уязвимости злоумышленниками. Пользователям корпоративных версий GitHub было рекомендовано проанализировать журналы доступа на предмет подозрительной активности.

В знак признания заслуг исследователей GitHub выплатил компании Wiz одно из крупнейших вознаграждений в истории своей программы Bug Bounty. Хотя точная сумма не разглашается, за особо значимые находки GitHub выплачивает значительно больше стандартных премий, которые в критических случаях составляют от 20 000 до 30 000 долларов. Для сравнения, максимальная выплата за всю историю программы составила 75 000 долларов в 2023 году.