Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

99% tokenów dostępu do repozytoriów kodu nie ma daty wygaśnięcia

Raport BlueFlag Security: 99% tokenów do repozytoriów nie wygasa, 84% pozwala zmieniać kod, a 47% leży nieużywanych ponad 90 dni bez odwołania.

Karta wpisu: 99% tokenów dostępu do repozytoriów kodu nie ma daty wygaśnięcia

Według raportu BlueFlag Security The State of Developer Risk 2026 aż 99% zbadanych tokenów dostępu do repozytoriów kodu nie miało daty wygaśnięcia. 84% z nich pozwalało zmieniać kod, a 47% nie było używanych od ponad 90 dni i nikt ich nie odwołał. Takie dane dostępowe działają dalej po zakończeniu projektu lub integracji, a ich kradzież daje dostęp do kodu i ustawień repozytoriów.

Kogo dotyczy

Firmy, w których kod tworzą programiści, podwykonawcy, konta serwisowe, boty i agenci AI piszący kod. Tożsamości nieludzkie z dostępem do repozytoriów przewyższały liczbą programistów osiem do jednego. Przeciętny programista nie korzystał z 61% przyznanych uprawnień. W czterech na pięć organizacji konta nieaktywne od ponad 90 dni zachowały uprawnienia administratora. Wśród programistów z największą liczbą nieużywanych uprawnień 88% miało dostęp do repozytoriów uznanych za krytyczne, w tym obsługujących usługi produkcyjne i systemy płatności.

TAB. 2

Źródła

1
Help Net Security — 99% of repository access tokens never expirehelpnetsecurity.com
TAB. 3

Powiązane

3
06.11.2026ŚwiatOkoło 6 na 10 luk w certyfikowanych produktach ujawniono po dacie certyfikacji
06.11.2026ŚwiatUSA nakładają trzecią rundę sankcji na sieć spółek Prince Group
06.11.2026ŚwiatTruffle Security chce unieważnić 1,4 mln wyciekłych kluczy API, które nadal działają

Wszystkie wpisy →

Blog 24/7
06.11Około 6 na 10 luk w certyfikowanych produktach ujawniono po dacie certyfikacjihelpnetsecurity.com06.11Luki PHP2Shell w PHP wykorzystywane w atakach jeszcze przed łatką z 21 październikahelpnetsecurity.com06.11Załatana luka w ChatGPT pozwalała ominąć Lockdown Mode i wykraść rozmowythehackernews.com06.11USA nakładają trzecią rundę sankcji na sieć spółek Prince Grouptherecord.media06.11Truffle Security chce unieważnić 1,4 mln wyciekłych kluczy API, które nadal działająbleepingcomputer.com06.11Fałszywe zaproszenia na wydarzenia OpenAI i SpaceX wyłudzają konta Microsoft i Googlebleepingcomputer.com06.1199% tokenów dostępu do repozytoriów kodu nie ma daty wygaśnięciahelpnetsecurity.com06.11Oszuści wysyłają właścicielom zaginionych zwierząt zdjęcia z AI i żądają okupumalwarebytes.com06.11Literówki w rekordach DNS pozwalają podszywać się pod pocztę dziesiątek urzędów w USAdarkreading.com06.11Ransomware wyłączył komputery, Wi-Fi i aplikację Queens Public Librarytherecord.media