CrowdSec подтвердила утечку исходного кода из приватных репозиториев

16 сентября 2026 года разработчик решений для сетевой безопасности CrowdSec получил сообщение об утечке исходного кода из своего репозитория на GitHub. Команда компании проверила информацию и подтвердила инцидент, который на самом деле произошёл ещё в мае 2026 года.

Исходный код CrowdSec делится на две части. Публичная — это Security Engine, свободное ПО с открытым кодом, которое открыто по замыслу и потому в инцидент не входит. Утечка затронула приватную часть: код SaaS-консоли, некоторые облачные процедуры для AWS, коннекторы и средства автоматизации.

Компания прокомментировала прозвучавшую в заголовках цифру в 300 репозиториев. По её словам, она верна, если добавить к приватным более 130 публичных, но отражает скорее дробление кода на модули, чем реальный объём данных. CrowdSec также опровергла сообщения о неких «внутренних материалах разработки» — весь код и так содержится в этих репозиториях.

Что не пострадало

В CrowdSec подчёркивают: не утекли ни клиентские данные, ни логины с паролями, ни имена или названия организаций. Компания вообще не хранит персональные данные и клиентские логи, поэтому последствия ограничены ею самой. Поиск токенов, учётных данных и прочих чувствительных сведений, которые позволили бы злоумышленникам продвинуться дальше, пока ничего не выявил.

По оценке компании, ценность украденного кода есть, но серьёзно навредить он не способен. Эффективность CrowdSec держится на сетевом эффекте и масштабе, которые одним лишь кодом не воспроизвести. SaaS-код регулярно проходил аудит, а за прошедшие четыре месяца значительная его часть заметно изменилась. Использовать код вне CrowdSec тоже вряд ли получится: он работает только с данными и инструментами самой компании.

Вектор атаки

Наиболее вероятной причиной утечки в CrowdSec называют компрометацию компонента TanStack — того же, что фигурировал в инциденте с Mistral AI. По версии компании, библиотека, использовавшаяся в мае, была снабжена бэкдором, который извлёк API-ключ с правами на чтение приватной кодовой базы. Уязвимость можно было использовать лишь в течение короткого промежутка времени в мае 2026 года.

После обнаружения инцидента компания сразу же сменила все необходимые токены и учётные данные, чтобы предотвратить повторение. Расследование продолжается, а за возможной аномальной активностью в CrowdSec обещают внимательно следить. Отдельную благодарность команда выразила Fuites Infos — исследователям, которые оперативно и профессионально сообщили о проблеме.

Источник: Hacker News