根据 GitHub 于 2026 年 5 月 20 日发布的官方 一句话，该公司确认黑客通过一个恶意的 VS Code 扩展入侵了员工的设备，从而获得对约 3,800 个内部代码库的未授权访问。GitHub 在数小时内检测并遏制了此次入侵，隔离了受影响的终端，移除了恶意扩展，并立即轮换了关键凭证。

威胁团伙 TeamPCP 在地下论坛宣称了责任，称其从约 4,000 个私有代码库中获取了数据，其中包括专有源代码和内部文件，所得金额超过 5 万美元。GitHub 表示，目前没有证据表明对客户数据、企业账号或用户代码库造成了影响。