VS Code

MiasmaワームでMicrosoftのGitHub 73リポジトリを一時封鎖

セキュリティ

MiasmaワームでMicrosoftのGitHub 73リポジトリを一時封鎖

自己増殖するマルウェア「Miasmaワーム」が、AIコーディングツールを踏み台に使う新手法でMicrosoftのリポジトリを侵害した。リポジトリを開いた瞬間、資格情報が盗まれる。 「開いただけ」で動くマルウェア 6月5日、MicrosoftのGitHub組織が直撃を受けた。Azure、Azure-Samples、Microsoft、MicrosoftDocsの4組織にまたがる73のリポジトリが感染し、GitHubが105秒の自動処理で全て封鎖した。 攻撃の起点は、過去に侵害されたコントリビューターアカウントを使ったコミットだ。Azure/durabletaskリポジトリに悪意あるコミットが押し込まれ、5つの設定ファイルが仕込まれた。クローンしても安全だが、エディタで開いた瞬間に動く。パッケージのインストールも不要だ。 仕込まれた5ファイルとターゲットツール ファイルClaude CodeGemini CLICursorVS Code.claude/ settings.json○———.gemini/ settings.json—○——.c
VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる

セキュリティ

VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる

Microsoftの脆弱性対応に失望した研究者がまた一人、協調的開示を放棄した。今度はVS Codeだ。github.devのリンクを1回クリックするだけで、GitHubのOAuthトークンが丸ごと抜かれる脆弱性が、事前通告なしで公開された。 研究者が選んだ「1時間前通告」 セキュリティ研究者のアンマル・アスカル（Ammar Askar）氏が6月2日、VS Codeのゼロデイ脆弱性を自身のブログで公開した。GitHubのセキュリティ担当者に連絡したのは、公開のわずか1時間前。MSRCへの報告は行っていない。 アスカル氏はジョージア工科大学所属のセキュリティ研究者で、GitHub公式ブログでバグバウンティプログラムのトップコントリビューターとして紹介された実績を持つ。素性不明の人物ではない。 協調的開示を飛ばした理由を、アスカル氏は明確に述べている。2023年にVS CodeのRCE脆弱性をMSRCに報告した際、Microsoftは黙ってパッチを適用し、クレジットを一切与えず、「セキュリティ上の影響なし」と分類した。バグバウンティも不適格と判定された。その経験から、VS Cod
GitHubの内部リポジトリ約3800件が流出した経路が判明した

セキュリティ

GitHubの内部リポジトリ約3800件が流出した経路が判明した

VS Code拡張機能の偽バージョンを踏んだ社員1人。それだけで、世界最大のコードホスティングプラットフォームの内部コードが外に出た。 18分間の窓 5月18日、Nx Console 18.95.0の改ざん版がVisual Studio Marketplaceに公開された。そのまま残っていたのは18分間だった。 短い。しかし十分だった。 GitHubの社員が、この拡張機能をインストールした。拡張機能は起動時に静かに動き出し、シェルコマンドを実行した。表向きは「MCPのセットアップタスク」を装ったそのコマンドは、Nxの公式GitHubリポジトリに仕込まれたコミットから隠しパッケージを引き出した。収集されたのは、1Passwordのボールト、npm・GitHubのトークン、AWS認証情報、AnthropicのClaude Codeの設定ファイル（~/.claude/settings.json）だ。 奪った認証情報を使い、攻撃者はCI/CDパイプラインを横移動し、GitHubの内部リポジトリ約3800件を外部に持ち出した。公開から 18分間 で、それだけの被害が確定した。 ウェ
GitHubの内部コードが3,800件流出、入口は拡張機能1本だった

セキュリティ

GitHubの内部コードが3,800件流出、入口は拡張機能1本だった

GitHubの内部リポジトリ約3,800件が不正に持ち出された。きっかけは、ある従業員がVS Codeにインストールした拡張機能1本だった。 何が起きたか 2026年5月19日、GitHubは自社の内部リポジトリへの不正アクセスを調査していると発表した。翌20日、詳細を公表し、従業員端末に仕込まれた不正なVS Code拡張機能が侵害の起点だったと認めた。 攻撃者は感染した端末を足がかりに、GitHubの内部リポジトリから大量のデータを引き出した。流出した件数は約3,800件で、GitHubは「攻撃者の主張とおおむね整合している」と述べている。 発覚後、GitHubは感染端末を隔離し、問題の拡張機能バージョンをVS Codeマーケットプレイスから削除した。さらに重要な認証情報と暗号鍵をその日のうちに総入れ替えした。顧客データや企業向けアカウントへの影響は、現時点で確認されていない。ただし調査は継続中であり、この評価が変わる可能性は残っている。 GitHubは「対象はGitHubの内部リポジトリのみとみている。攻撃者が主張する約3,800件という数字は、現時点の調査とおおむね整
GitHub Copilot、6月1日に従量課金へ全面移行

AI

GitHub Copilot、6月1日に従量課金へ全面移行

GitHubが4月27日、Copilotの全プランを2026年6月1日から従量課金制に切り替えると正式発表した。月額は据え置きだが、使い放題の感覚は終わる。年間契約者には乗数引き上げという別の負担も待っている。 据え置き価格の裏で変わるもの GitHub Copilotの月額料金は変わらない。Pro 10ドル(約1580円)、Pro+ 39ドル(約6160円)、Business 19ドル/ユーザー、Enterprise 39ドル/ユーザー。一見すると、何も起きていないように見える。 ただし、その内側にある「課金単位」が丸ごと別物になる。これまで利用回数で数えていた プレミアムリクエストユニット(PRU)が廃止され、代わりに GitHub AI Credits が導入される。新しいクレジットはトークン消費量(入力・出力・キャッシュトークン)で減っていく。同じ月額10ドルでも、軽い会話で済ませる開発者と、エージェントに長時間タスクを丸投げする開発者では、消費スピードが桁違いになる構造に切り替わる。 この変更を主導したのはGitHubのチーフ・プロダクト・オフィサー、マリオ・ロドリ