Trivy-Supply-Chain-Angriff: gestohlene CI/CD-Zugangsdaten sind jetzt öffentlich

Beim Trivy-Supply-Chain-Angriff kompromittierte die Angreifergruppe TeamPCP im März 2026 den Open-Source-Schwachstellenscanner Trivy von Aqua Security und stahl über manipulierte Versionen Zugangsdaten aus CI/CD-Pipelines. Seit dem 11.08.2026 stehen die erbeuteten Secrets von mehr als 2.500 Organisationen öffentlich im Netz. Betroffene müssen sämtliche Pipeline-Geheimnisse rotieren.

Das BSI warnte am 26.03.2026: Wer die kompromittierten Versionen geladen hat, muss von einer Kompromittierung ausgehen. Trivy prüft Container-Images und Quellcode auf Schwachstellen. Der Scanner läuft dafür direkt in Build-Pipelines und hat dort Zugriff auf Umgebungsvariablen und Secrets. Genau dieser privilegierte Platz machte ihn zum Werkzeug der Angreifer.

Wie lief der Supply-Chain-Angriff auf Trivy ab?

Der Angriff lief in zwei Stufen. Ende Februar 2026 stahlen die Angreifer über eine Fehlkonfiguration in der GitHub-Actions-Umgebung des Projekts einen privilegierten Zugriffstoken.

Aqua Security legte den Vorfall am 01.03.2026 offen und rotierte Zugangsdaten. Die Rotation blieb jedoch unvollständig. Mit weiterhin gültigen Zugangsdaten behielt die Gruppe ihren Zugang.

Am 19.03.2026 um 17:43 UTC folgte der eigentliche Angriff. Laut dem Security Advisory GHSA-69fq-xp46-6x23 überschrieben die Angreifer 76 von 77 Versions-Tags der GitHub Action trivy-action mit einem Credential-Stealer. Alle sieben Tags von setup-trivy ersetzten sie durch schädliche Commits und veröffentlichten die manipulierte Trivy-Version v0.69.4.

Auch auf Docker Hub lagen zeitweise schadhafte Images. Gefälschte Commit-Metadaten ließen die manipulierten Tags wie reguläre Releases aussehen.

Die Schadversionen blieben je nach Komponente rund 3 bis 12 Stunden verfügbar. Das genügte, weil Pipelines die Action bei jedem Lauf automatisch beziehen. Der Schadcode las den Prozessspeicher des Runners und über 50 Dateipfade aus.

Die Beute verschlüsselte er mit AES und schickte sie an die Typosquatting-Domain scan.aquasecurtiy[.]org. Schlug der Upload fehl, legte er die Daten in einem öffentlichen GitHub-Repository namens tpcp-docs im Account des Opfers ab. Auf Entwicklerrechnern installierte die manipulierte Binary zusätzlich einen persistenten Dropper, der nach fünf Minuten Wartezeit einen Kontrollserver abfragt.

Bei Trivy blieb es nicht. Unit 42 dokumentiert, wie sich TeamPCP mit gestohlenen Tokens weiter vorarbeitete. Am 23.03.2026 traf es GitHub Actions von Checkmarx, am 24.03.2026 LiteLLM mit zwei manipulierten PyPI-Releases (1.82.7 und 1.82.8), am 27.03.2026 das Telnyx Python SDK. Dazu kamen 47 automatisiert infizierte npm-Pakete.

Welche Daten sind seit dem 11.08.2026 öffentlich?

Öffentlich sind gestohlene CI/CD-Secrets, die laut CloudSEK-Analyse vom 11.08.2026 mehr als 2.500 Organisationen und 434.000 Pipelines exponieren. Fünf Monate nach dem Angriff wurde damit aus dem Vorfall ein öffentliches Datenleck. StepSecurity zählte im selben Datensatz 78.330 gestohlene Secrets aus 2.186 Organisationen, darunter private Schlüssel, Cloud-Zugangsschlüssel und Zugriffstokens für GitLab und GitHub. Laut Help Net Security analysierte Hudson Rock außerdem ein 153 GB großes Archiv aus dem LiteLLM-Zweig: 433.909 Dateien mit Zugangsdaten von 2.488 Unternehmensdomänen.

In der Hochkonfidenz-Liste von CloudSEK stehen auch deutsche Unternehmen, darunter die Deutsche Bahn AG mit 25 Secrets aus 35 Pipeline-Läufen. Die Liste weist mögliche Exposition aus. Eine bestätigte Kompromittierung folgt daraus noch nicht. Das FBI führt TeamPCP als kriminelle Gruppe und hatte bereits am 02.07.2026 im Advisory FLASH-20260702-01 gewarnt: Abgeflossene Zugangsdaten sind als dauerhaftes Risiko zu behandeln, weil Angreifer sie auch lange nach dem Einbruch noch missbrauchen dürften.

Das BSI stuft alle Geheimnisse, die in betroffenen Runner-Umgebungen zugänglich waren, als abgeflossen ein. Ein Download der manipulierten Versionen im Angriffszeitraum gilt als Kompromittierung.

Welche Trivy-Versionen sind kompromittiert?

Kompromittiert sind die Trivy-Version v0.69.4, 76 von 77 Versions-Tags der trivy-action und alle sieben Tags von setup-trivy.

Wie erkenne ich, ob meine Pipeline betroffen ist?

Die Prüfung folgt vier Schritten:

1. Nutzung feststellen: CI-Logs vom 19.03. und 20.03.2026 prüfen. Wurden trivy-action, setup-trivy oder die Binary v0.69.4 geladen? Auch Container-Registries und Build-Caches gehören auf den Prüfstand.
2. Angriffsspuren suchen: ausgehende Verbindungen zu scan.aquasecurtiy[.]org, unerwartete öffentliche Repositories namens tpcp-docs. Die vollständige IOC-Liste mit Datei-Hashes steht im Advisory von Aqua Security.
3. Entwicklerrechner einbeziehen: Wer die Binary v0.69.4 lokal ausgeführt hat, prüft das System auf den persistenten Dropper.
4. Secrets rotieren: alle Geheimnisse der betroffenen Runner-Umgebungen, beginnend mit Cloud-Provider-Zugangsdaten. Aqua Security stuft auch erbeutete npm-Tokens als aktiv kompromittiert ein.

Ob eigene Zugangsdaten in den veröffentlichten Datensätzen auftauchen, zeigt ein fortlaufendes Datenleck-Monitoring.

Wie lassen sich Pipelines gegen solche Angriffe härten?

Gegen manipulierte Actions helfen vier Bausteine: das Pinnen auf Commit-SHAs, kurzlebige OIDC-Tokens, ephemere Runner und signierte Provenance-Daten. Der Vorfall führt vor, wie verwundbar veränderliche Versions-Tags sind.

GitHub nennt das Pinnen auf einen vollständigen Commit-SHA die einzige Möglichkeit, eine Action als unveränderliches Release zu nutzen. Für Cloud-Zugriffe empfiehlt GitHub OpenID Connect: Statt langlebiger Schlüssel in Secrets erhalten Jobs kurzlebige Tokens.

Microsoft rät ergänzend zu ephemeren Runnern und einer Positivliste erlaubter Actions. Ab SLSA Build Level 2 sichern signierte Provenance-Daten die Herkunft von Artefakten ab. Wie sich diese Bausteine zu einer Gesamtstrategie fügen, zeigt der Beitrag zur CI/CD-Pipeline-Sicherheit.

Einordnung

Ein Werkzeug, das Schwachstellen finden soll, wurde selbst zum Einfallstor. Der Ausgangspunkt war eine Fehlkonfiguration. Zur Kampagne eskalierte der Vorfall erst durch die unvollständige Credential-Rotation nach der ersten Entdeckung. Achtzehn Tage Restzugang machten aus einem begrenzten Einbruch einen Supply-Chain-Angriff mit zehntausenden gestohlenen Secrets.

Zwischen Diebstahl im März und Veröffentlichung im August lagen fünf Monate. Wer erst jetzt rotiert, hat Angreifern dieses Fenster überlassen.

Einmal abgeflossene Zugangsdaten bleiben zudem dauerhaft im Umlauf: Eine ESORICS-Studie mit AWARE7-Beteiligung fand bei 8.994 von 18.873 untersuchten Mitarbeitenden Daten in bekannten Lecks oder öffentlichen Profilen. Gegen Daten aus Lecks haben Unternehmen praktisch keine Löschmöglichkeit. Jede extern bezogene Action ist fremder Code mit Zugriff auf die eigenen Secrets. Der Trivy-Vorfall zeigt, was das im Ernstfall bedeutet.