เราได้ตรวจพบปัญหาด้านความปลอดภัยที่เกี่ยวข้องกับเครื่องมือพัฒนาภายนอกชื่อ Axios ซึ่งเป็นส่วนหนึ่งของเหตุการณ์ในอุตสาหกรรมที่ถูกรายงานในวงกว้าง
การโจมตีเกิดขึ้นเมื่อวันที่ 31 มีนาคม 2026 (UTC) โดย GitHub Actions ในกระบวนการลงนามแอป macOS ได้ดาวน์โหลดและรัน Axios เวอร์ชัน 1.14.1 ที่เป็นอันตราย เนื่องจาก Action ดังกล่าวใช้แท็กแบบลอยตัวแทนการแฮชของคอมมิตที่เฉพาะเจาะจง และไม่มีการกำหนด minimumReleaseAge สำหรับแพ็กเกจใหม่
สำหรับผู้ใช้ที่ต้องการอัปเดตแอป macOS ควรดาวน์โหลดเฉพาะจากอัปเดตในแอปหรือหน้าเว็บทางการเท่านั้น เนื่องจากเราให้ช่วงเวลา 30 วันเพื่อให้ผู้ใช้สามารถอัปเดตเพื่อลดผลกระทบจากการถูกโจมตี
เรากำลังทำงานร่วมกับพันธมิตรเพื่อเฝ้าติดตามสัญญาณการนำใบรับรองการลงนามไปใช้ในทางที่ผิด และจะเร่งกำหนดเวลาการเพิกถอนหากพบกิจกรรมที่เป็นอันตรายในช่วงเวลานี้
ศัพท์ที่ควรรู้
- Axios – คือไลบรารีสำหรับนักพัฒนาภายนอกที่ถูกใช้ในกระบวนการโจมตีครั้งนี้
- GitHub Actions – คือเวิร์กโฟลว์อัตโนมัติที่ใช้ในกระบวนการลงนามแอป macOS ของ OpenAI
- Floating tag – คือการใช้แท็กแบบลอยตัวแทนการระบุคอมมิตที่เฉพาะเจาะจง ทำให้เกิดช่องโหว่
- Notarization – คือกระบวนการรับรองความถูกต้องของแอปพลิเคชันก่อนเผยแพร่
ที่มา: OpenAI