Security · 23/05/2026

Credenciais em Repositórios Públicos: O Falso Senso de Segurança de Quem Trabalha com Infraestrutura

CISA deixou SSH keys e senhas em plaintext no GitHub por 6 meses. Trend Micro patcha zero-day em Apex One. O padrão revela: separação de secrets e código é falha de arquitetura, não de disciplina individual.

O que está acontecendo

Em maio de 2026, pesquisadores descobriram SSH keys, senhas em plaintext e outros dados sensíveis no repositório público da CISA, agência federal de cibersegurança dos EUA, permanecendo expostos desde novembro de 2025. Paralelo a isso, Trend Micro respondeu a um zero-day em Apex One, solução de proteção de endpoints amplamente deployada em ambientes Windows corporativos, que já estava sendo explorada em ataques reais.

Os dois eventos funcionam como sintomas de um problema arquitetural mais profundo: credenciais continuam sendo tratadas como artefatos que "não deveriam estar lá" em vez de serem eliminadas estruturalmente do fluxo de versionamento.

O incidente da CISA é particularmente relevante porque ocorreu em uma agência que publica guidelines de segurança. Não foi negligência de um desenvolvedor junior — foi um falso positivo de confiança em ferramentas de scanning que supostamente bloqueiam esse tipo de exposição. A janela de exposição de 6 meses sugere que nem secret scanning ativo nem revisão de código conseguiram detectar o problema.

Insights e Riscos

• Scanning de secrets é detection, não prevention: Ferramentas como gitguardian, git-secrets e pre-commit hooks detectam credenciais após commit, mas a priori assumem que credenciais existem no repositório. Isso é fundamentalmente diferente de impedir que existam. CISA usava essas ferramentas; ainda assim a exposição ocorreu por semanas.

• Apex One zero-day expõe janela de risco crítica: Endpoints ainda requerem proteção em tempo de execução porque código vulnerável chega a produção antes de patches. No caso da Trend Micro, o lag entre descoberta e patch é irrelevante para quem já estava comprometido. Isso força duplicação de defensas em camadas de identidade e privilégio.

• Infraestrutura como Código sem injeção de secrets em runtime cria a falha: A maioria dos deploys ainda embutem credenciais via variáveis de ambiente ou arquivos de configuração versionados. Sem um sistema de secrets management acoplado ao orquestrador (Vault, AWS Secrets Manager, Azure Key Vault com atribuição de identidade), o código é o único lugar onde secrets transitam.

• Agências federais e enterprise têm poder de compra para impor padrões que não usam: CISA recomenda practices que não força em seus próprios sistemas. Isso reduz credibilidade de guidelines e permite que organizações downstream (que implementam Apex One, por exemplo) racionalizem não investir em refatoração arquitetural para eliminar secrets em versionamento.

• Zero-days em endpoint protection são points of failure com SLA indefinido: Apex One é camada defensiva crítica. Quando é explorada, o restante da stack (segmentação de rede, detecção de anomalia, resposta incidente) passa a suportar 100% do risco. Trend Micro não controla janela de exploração — apenas de patch deployment.

O que muda na prática

Para Engenheiros de Segurança:

• Secret scanning em repositórios deve ser obrigatório em CI/CD, mas com rejeição de commit (não apenas alertas). Pre-commit hooks com revoke automático de credenciais expostas em 24h são baseline.
• Auditorias de repositórios históricos precisam incluir análise de refs deletadas (git reflog) e branches que não fazem parte da main. CISA teria detectado exposição mais cedo com scanning contínuo em todo o histório, não apenas commits atuais.
• Endpoint protection (Apex One, CrowdStrike, etc.) não é controle de acesso. Requerer que endpoints falhem fechado (block-by-default) para comportamentos não-assinados é complemento necessário, não substituto.

Para Arquitetos:

• Eliminar secrets de repositórios requer separação clara entre configuração (versionada) e credencial (injected at runtime). Isso exige que infraestrutura forneça primitivos de identidade (workload identity em Kubernetes, OIDC federation em AWS/Azure) para que aplicações não precisem armazenar static credentials.
• Apex One e ferramentas similares são camadas de proteção reativas. Sua presença não reduz necessidade de zero-trust network architecture ou segmentação de privilégio em nível de identidade de serviço.
• PostgreSQL, como mencionado em contexto de modernização Azure, precisa de autenticação baseada em identidade do host, não credenciais embutidas em connection strings.

Para DevOps/MLOps:

• Rotação automática de credenciais é obrigatória. Isso inclui SSH keys, API tokens, e database passwords. Sem isso, janela de exploração é indefinida — como no caso da CISA.
• CI/CD pipelines devem rejeitar qualquer imagem de container ou artefato que contenha secrets. Scanning deve acontecer tanto em tempo de build quanto em tempo de deployment.
• Monitoramento de acessos a Secrets Manager / Vault precisa alertar sobre tentativas de acesso via code paths não-esperadas. Se uma aplicação tenta ler secrets de ficheiro em vez de via API de identidade, isso é anomalia.

Conclusão direta

CISA expôs credenciais em 6 meses porque separação de secrets e código ainda é viesada para detecção tardía em vez de prevenção estrutural. Apex One é explorado porque endpoints continuam sendo pontos de falha únicos sem camadas de identidade que falhem fechado. O padrão não é novo — é a falta de rearchitecture que o mantém. Organizações que migram para identidade federada (OIDC, workload identity) eliminam a classe inteira de vulnerabilidade de credential exposure. Aqueles que mantêm static secrets em repositórios ou endpoints continuam um patch ou auditoria de distância de incidente.

Pergunta para você: Sua organização conseguiria rodar 30 dias sem que nenhum código ou script tivesse acesso a credencials hardcoded ou em variáveis de ambiente não-rotacionadas?

Fontes

[Fonte: Ars Technica] In stunning display of stupid, secret CISA credentials found in public GitHub repo — SSH keys, plaintext passwords, other sensitive data had been up since November 2025.

[Fonte: BleepingComputer] Trend Micro warns of Apex One zero-day exploited in the wild — Japanese cybersecurity software company has addressed an Apex One zero-day vulnerability exploited in attacks targeting Windows systems.