CISAの機密認証情報がGitHubで公開、高権限でアクセス可能な状態

セキュリティ研究者のBrian Krebs氏の報告によると、CISAの機密データが「Private-CISA」と名付けられた公開GitHubリポジトリで少なくとも2025年11月から露出していた。このリポジトリにはSSH秘密鍵、平文パスワード、トークン、その他の機密CISA資産が含まれていた。GitGuardianのGuillaume Valadon氏がコードスキャンでこの問題を発見し、リポジトリ所有者からの応答がなかったためKrebs氏に連絡した。コミットログの分析により、GitHubの機密情報コミット防止機能が管理者によって無効化されていたことが判明。Seralysの創設者Philippe Caturegli氏の検証では、これらの認証情報を使用してAmazon Web Services GovCloudアカウントに「高権限レベル」でアクセス可能だったことが確認された。リポジトリはバージニア州のCISA請負業者Nightwingが管理していたとみられる。CISAは今年1月にも、当時の代理長官Madhu Gottumukkala氏がChatGPTに機密文書をアップロードする問題を起こしており、同氏は2月に職を離れている。