Die meeste sekuriteitsberigte in hierdie nuusbrief gaan oor dinge wat direk met jou gebeur: ’n uitvissingboodskap, ’n uitgelekte wagwoord, ’n vals inkopiewebwerf. Hierdie een is anders. Die voorvalle hieronder het met ontwikkelaars gebeur — die mense wat die toepassings en dienste skryf wat jy elke dag gebruik. Maar die rede waarom dit hier hoort, is eenvoudig: as iemand die gereedskap waarmee sagteware gebou word, vergiftig, bly die gif nie by die bouer nie. Dit word saam met die produk verskeep.

Twee dinge het onlangs gebeur wat dit illustreer. Nie een het die nuus gehaal soos ’n groot databreuk nie, omdat nie een spesifiek ’n breuk van jou is nie. Albei is aanvalle op die pyplyn wat die sagteware vervaardig wat jy uiteindelik installeer, oopmaak of by aanmeld.

Nagemaakte uitbreidings vermom as vertroude handelsmerke

Open VSX is ’n openbare markplek vir kode-redigeerderuitbreidings — die klein byvoegings wat ontwikkelaars installeer vir outovoltooiing, linting en integrasies vir die gereedskap wat hulle daagliks gebruik (Visual Studio Code en verskeie van sy oopbron-eweknieë put daaruit). Tussen July 26 en August 1, 2026, het sekuriteitsnavorsers by Manifold Security 77 nagemaakte uitbreidings in die register gevind. Elkeen het die naam en naamruimte van ’n werklike, vertroude uitbreiding gekopieer, maar is gepubliseer vanuit ’n rekening wat nie die oorspronklike besit het nie — ’n klassieke nabootsingstegniek, wat soms naamruimtekaping genoem word.

Die gekaapte name was nie lukraak nie. Hulle het die identiteite van AMD, LEGO Education, Hyperledger, Azure, Artsy, Salesforce se oopbronprojekte, ’n Amerikaanse federale agentskap en — met ’n soort donker ironie — die uitbreidingsmark self geleen. Elkeen van die 77 pakkette het na ’n enkele domein huis toe gebel wat slegs 11 dae voordat die eerste vals pakket verskyn het, geregistreer is — ’n patroon wat op ’n gekoördineerde, doelgeboude veldtog dui eerder as opportunistiese nabootsing.

Die meeste van die vals uitbreidings het iets beskeie gedoen: hulle het stilweg ’n gasheernaam aan die aanvaller se bediener gerapporteer, wat op sigself bloot ’n kontrole kon wees om te sien wie die aas geïnstalleer het. Maar navorsers het bevind dat ongeveer ’n kwart van die 77 — 19 pakkette — verder gegaan het. Sekondes ná aktivering het hulle die gasheernaam, die bedryfstelselgebruikersnaam, redigeerderbesonderhede en ’n masjien-ID ingesamel. Daarna het hulle wat ook al die ontwikkelaar oop gehad het, gelees: die git-afstandbewaarplek (wat die organisasie en bewaarplek-gasheer onthul), die commit-e-posdomein, die huidige tak en die jongste commit. Hulle het ook deurlopende-integrasiewaardes onttrek — die geloofsbriewe en konfigurasie waarmee geoutomatiseerde stelsels kode kan bou en ontplooi sonder dat ’n mens elke keer ’n wagwoord intik.

Niks van daardie data is nuttig om iemand se bankrekening leeg te tap nie. Dit is nuttig vir iets anders: om uit te werk vir watter maatskappye ’n ontwikkelaar werk, hoe hul interne infrastruktuur lyk en hoe om daarin ’n vastrapplek te kry.

’n Fout met ’n gradering van 9.8 uit 10 in die masjien wat die sagteware bou

Die tweede voorval behels TeamCity, ’n platform vir deurlopende integrasie en deurlopende aflewering (CI/CD) wat deur JetBrains gemaak word. As ’n kode-redigeerder is waar ontwikkelaars sagteware skryf, is ’n CI/CD-platform die geoutomatiseerde fabrieksvloer waar daardie kode gekompileer, getoets en na produksie gestoot word — dikwels sonder dat enige mens hoegenaamd op “deploy” klik. TeamCity is ’n sentrale deel van daardie masjinerie by baie maatskappye.

’n Kwesbaarheid wat as CVE-2026-63077 opgespoor word, met ’n ernsgradering van 9.8 uit ’n moontlike 10, is in TeamCity se plaaslike weergawes bekend gemaak. Dit is ’n deserialiseringsfout — ’n klas fout waar ’n program inkomende data genoeg vertrou om dit direk in lopende kode te omskep, sonder om eers te kontroleer wat daardie data werklik is. In die praktyk het dit ’n aanvaller toegelaat om ’n versoek na ’n kwesbare TeamCity-bediener te stuur, sonder dat aanmelding vereis is, en arbitrêre opdragte met dieselfde voorregte as die TeamCity-diens self uit te voer. JetBrains het regstellings uitgestuur (weergawes 2025.11.7 en 2026.1.3, plus ’n regstellingsinprop vir ouer 2017.1+-installasies), maar die Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) het sedertdien gewaarsku dat aanvallers ongekorrigeerde stelsels aktief uitbuit.

Wie ook al ’n maatskappy se boubediener beheer, beheer wat daardie maatskappy verskeep. Dit is nie ’n hipotese nie — dit is letterlik die funksie van die gereedskap.

Dieselfde speelboek, twee verskillende deure

Dit is onverwante voorvalle van verskillende navorsers, maar hulle het dieselfde vorm. Nie een val ’n voltooide produk aan nie. Albei val ’n stap vroeër aan — die redigeerder waarin ’n ontwikkelaar kode skryf, of die bediener wat daardie kode in ’n verskeepte vrystelling omskep. Dit is die kenmerkende eienskap van ’n sagtewarevoorsieningskettingaanval: in plaas daarvan om by een teiken in te breek, kompromitteer jy iets stroomop waarvan baie teikens afhanklik is, en laat jy hul eie vertroude proses jou toegang namens jou verder dra.

Dit is die moeite werd om eerlik te wees oor wat ons nog nie weet nie. Nie een van die verslae wat hierdie week na vore gekom het, het ’n bevestigde geval bekend gemaak waarin ’n stroomaf-toepassing of gebruiker as ’n direkte gevolg gekompromitteer is nie — die uitbreidingsveldtog lyk na verkenning en die insameling van toegang, en die TeamCity-uitbuiting word as aktief beskryf, maar sonder benoemde slagoffers. Dit is normaal; voorsieningskettingkompromitterings word dikwels by die toegangspunt ontdek lank voordat (of eerder as) die uiteindelike uitwerking opgespoor word.

Waarom dit jou probleem is, nie net hulle s’n nie

Jy sal waarskynlik nooit ’n kode-uitbreiding installeer of ’n CI/CD-bediener bestuur nie. Maar jy gebruik die uitset van honderde daarvan: jou banktoepassing, jou wagwoordbestuurder, jou kind se skoolportaal, die blaaier waarin jy dit lees. Alles daarvan het deur een of ander ontwikkelaar se redigeerder en een of ander maatskappy se bou-pyplyn gegaan voordat dit jou foon bereik het. As een van daardie skakels stilweg gekompromitteer word, kan die kwaadwillige verandering saamry met ’n gewone, roetine-sagtewareopdatering — die soort wat jy installeer omdat daar vir jou gesê is dat opdatering die veilige ding is om te doen.

Dit is ook waarom die raad in ’n nadoodse ondersoek na ’n databreuk soms vreemd klink vir nie-tegniese lesers: ’n maatskappy sê sy stelsels is deur ’n boubediener, ’n gesteelde ontwikkelaarsgeloofsbrief of ’n kwaadwillige afhanklikheid gekompromitteer, en dit kan abstrak klink langs “iemand het my wagwoord geraai”. Dit is nie abstrak nie. Dit is dieselfde uitkoms — jou data of jou toepassing se integriteit is gekompromitteer — wat deur ’n deur bereik is waarvan jy nooit geweet het dat dit bestaan nie.

Wat werklik help

Jy kan nie jou bank se CI/CD-pyplyn oudit nie, en jy behoort dit ook nie te hoef te doen nie. Maar ’n paar gewoontes verminder werklik jou blootstelling aan hierdie risikokategorie:

Hou outomatiese opdaterings aan, maar moenie opdaterings as outomaties vertroubaar beskou nie. Regstellings is hoe oplossings soos dié vir TeamCity hierbo die sagteware wat jy gebruik, bereik — om op datum te bly, sluit vensters wat aanvallers aktief ondersoek. Terselfdertyd is ’n opdatering net so goed soos die pyplyn wat dit vervaardig het, wat presies die ding is wat hier geteiken word; daar is geen volmaakte individuele verdediging teen ’n werklik vergiftigde stroomopvrystelling nie, en daarom is dit fundamenteel ’n verskaansverantwoordelikheidsprobleem, nie ’n jouverantwoordelikheidsprobleem nie.

As jy met ontwikkelaars werk of hulle bestuur, is daar twee konkrete, verifieerbare dinge: maak seker dat enige kode-redigeerderuitbreiding vanaf die werklike geverifieerde uitgewerrekening geïnstalleer is, nie bloot ’n rekening met ’n ooreenstemmende naam nie (Open VSX en soortgelyke markplekke wys ’n uitgeweridentiteit — kontroleer dit; moenie slegs die ikoon en titel vertrou nie); en as jou organisasie TeamCity plaaslik bestuur, bevestig vandag dat dit op 2025.11.7 of 2026.1.3 is, of dat die regstellingsinprop toegepas is — nie tydens die volgende instandhoudingsvenster nie; CISA se waarskuwing beteken dat dit aktief uitgebuit word, nie dat dit teoreties is nie.

Vir almal anders is die nuttige verandering bloot bewustheid: wanneer jy lees van ’n maatskappybreuk wat teruggevoer word na “’n gekompromitteerde ontwikkelaarsgereedskap” of “’n boustelsel”, is dit nie ’n nistegniese voetnota nie. Dit is dieselfde kategorie gebeurtenis as die wagwoordbreuke en uitvissingbedrogspul wat hierdie nuusbrief meer gereeld dek — dit het net een laag verder stroomop begin, voordat die produk jou ooit bereik het.