← Все новости

DevOps ·

GitHub восстановил 12 285 EMU-аккаунтов, ошибочно удалённых вместо блокировкиGitHub restores 12,285 EMU accounts that were deleted instead of suspended

В июне изменение в механизме SCIM-депровижининга удаляло аккаунты Enterprise Managed Users вместо приостановки, превращая их в «призраков» в issues и PR. GitHub раскрыл масштаб инцидента и вернул аккаунты в правильное состояние.In June a change to SCIM deprovisioning deleted Enterprise Managed User accounts instead of suspending them, turning them into 'ghosts' in issues and PRs. GitHub disclosed the scope and restored the accounts to the correct state.

23 октября GitHub опубликовал разбор инцидента с Enterprise Managed Users (EMU) — корпоративными аккаунтами, которыми управляет внешний IdP через SCIM.

Что произошло

  • С 1 по 13 июня 2026 года часть EMU-аккаунтов, депровиженных через SCIM, была удалена, а не приостановлена с обфускацией, как положено. В issues, pull request’ах и журналах аудита такие пользователи отображались как «ghost».
  • Причина: изменение, включённое 1 июня, направило запросы депровижининга по новому пути, который не проверял, является ли аккаунт EMU.
  • 13 июня GitHub отключил этот путь.

Масштаб

Затронуто около 12 285 аккаунтов в нескольких enterprise. Большинство из них и так были приостановлены и жёстко депровиженены, поэтому по дизайну не могут быть восстановлены через провижининг. Но 76 аккаунтов на момент удаления были активны — их пользователи фактически потеряли доступ.

Что сделано и что проверить

  • В октябре GitHub восстановил затронутые записи в состояние «приостановлен и обфусцирован» и внёс изменения в код, чтобы ситуация не повторилась.
  • Владельцам enterprise ничего делать не нужно, процесс повторного провижининга не затронут.
  • Проверить, коснулось ли это вас, можно по журналу аудита: ищите события user.delete для EMU-аккаунтов в окне 1–13 июня. Нет событий — нет и последствий.

Инцидент — хорошее напоминание, что ошибки в цепочке IdP → SCIM → платформа могут незаметно ломать атрибуцию в истории кода и аудите; стоит периодически сверять журналы депровижининга с ожидаемым поведением.

On Oct 23 GitHub published an incident write-up about Enterprise Managed Users (EMU) — corporate accounts managed by an external IdP via SCIM.

What happened

  • From June 1 to June 13, 2026, some EMU accounts deprovisioned through SCIM were deleted instead of being suspended and obfuscated as intended. In issues, pull requests and audit logs they showed up as “ghost” users.
  • Cause: a change enabled on June 1 routed deprovisioning requests through a new path that did not check whether an account was an EMU account.
  • GitHub disabled that path on June 13.

Scope

About 12,285 accounts across several enterprises were affected. Most had already been suspended and hard-deprovisioned, so by design they cannot be reprovisioned. But 76 accounts were active when deleted — their users effectively lost access.

What was done and what to check

  • In October GitHub restored the affected records to the “suspended and obfuscated” state and made code changes to prevent a recurrence.
  • Enterprise owners need to take no action, and the reprovisioning workflow is unaffected.
  • To check whether you were affected, search the audit log for user.delete events on EMU accounts in the June 1–13 window. No events means no impact.

The incident is a good reminder that bugs in the IdP → SCIM → platform chain can silently break attribution in code history and audit trails; it is worth periodically reconciling deprovisioning logs with expected behavior.

Источники