Skupina TeamPCP kompromitovala Trivy – populárny open-source skener zraniteľností od Aqua Security – a injektovala doň malvér kradúci prihlasovacie údaje.
Škodlivý kód bol aktívny len 12 hodín, no stihol čítať pamäť GitHub Actions Runner a exfiltrovať citlivé tajomstvá na útočníkov server. Bezpečnostná firma Sysdig odhalila, že ukradnuté údaje z Trivy kompromisu boli následne použité na otrávenie ďalších GitHub Actions v dotknutých repozitároch. Útok zasiahol aj workflow nástroje od firmy Checkmarx. Zraniteľnosť Trivy supply chain kompromisu je sledovaná pod identifikátorom CVE-2026-33634 s kritickým CVSS skóre 9.4.
Incident je vážnym varovaním pre organizácie, ktoré sa spoliehajú na automatizované CI/CD pipeline – ukazuje, ako jeden kompromitovaný nástroj v dodávateľskom reťazci dokáže spustiť kaskádový efekt naprieč stovkami projektov. Bezpečnostní experti odporúčajú zavedenie overovania integrity závislostí, pinnovanie verzií a monitoring neočakávaných sieťových volaní v build procesoch.