Alerta Crítico: Vazamento Maciço de Chaves Privadas do GitHub Expondo Acessos Administrativos

A revelação da GitGuardian sobre o vazamento de chaves privadas de GitHub Apps acende um alerta gravíssimo. Estamos falando de 474 chaves ativas, que permitem acesso autenticado. O perigo não é apenas o número, mas a profundidade do acesso que essas chaves concedem: 44 desses aplicativos tinham permissões de administrador de organização. Outros 207 podiam até gravar conteúdo em repositórios.

As chaves PEM, usadas para autenticar esses aplicativos, não expiram. Isso significa que uma chave vazada hoje permanece uma ameaça por tempo indeterminado, até ser manualmente revogada. Isso cria uma porta permanentemente aberta para atacantes, ampliando o risco na cadeia de suprimentos e expondo não apenas os mantenedores dos aplicativos, mas todas as organizações que os instalaram.

Em maio de 2026, noticiamos sobre um administrador da CISA que vazou credenciais altamente privilegiadas no GitHub. Naquela ocasião, o foco estava nas chaves do AWS GovCloud expostas. Agora, a análise da GitGuardian aprofunda o cenário. Descobrimos que um dos vetores de comprometimento nesse tipo de incidente pode ser uma chave privada de GitHub App. O artigo atual mostra como uma única chave, se comprometida, pode se tornar uma porta de entrada ampla para sistemas organizacionais, usando o próprio caso da CISA como exemplo dessa capacidade de ataque.

Este vazamento é crítico para qualquer empresa ou desenvolvedor que use GitHub Apps. A persistência da ameaça, devido à natureza não expiráveis das chaves, significa que vulnerabilidades de anos atrás continuam ativas. O impacto pode ir desde o roubo de código-fonte privado até a execução de código arbitrário na infraestrutura interna, como demonstrado pelo caso do CDC. A segurança da cadeia de suprimentos é diretamente afetada, pois o comprometimento de um único aplicativo pode se propagar para todas as organizações que o utilizam e seus usuários.