هجوم ضخم على سلسلة التوريد يحوّل خوادم GitHub إلى بوت نت لاستغلال ثغرة cPanel

583 ملف سير عمل خبيث

لم يكن جوهر الهجوم في كود PHP نفسه؛ إذ ظلت مكتبات PHP حميدة بدون أي خطافات تثبيت أو نشاط شبكة خبيث . بدلاً من ذلك، قام المهاجمون بحقن 583 ملف سير عمل خبيث من GitHub Actions (.github/workflows/*.yml) في المستودعات المصدرية للمطور. احتوى كل إصدار حزمة متأثر على ما بين 55 و62 ملف سير عمل . سير عمل GitHub Actions هي ملفات YAML تحدد مهاماً آلية مثل تشغيل الاختبارات أو نشر الكود. قام المهاجمون بإعادة استخدام هذه البنية التحتية للأتمتة الشرعية.

الآلية الخبيثة

بمجرد أن يؤدي نسخ (fork) أو استنساخ للمستودع المخترق إلى تشغيل سير عمل (على سبيل المثال، عند حدث push)، يقوم ملف .yml الخبيث بتعليمات لخادم Ubuntu المستضاف على GitHub بما يلي :

1. اكتشاف بنية وحدة المعالجة المركزية للخادم.
2. تنزيل حمولة مسح واستغلال من خادم تحكم (C2) على عنوان IP 43[.]228[.]157[.]68.
3. مسح الإنترنت بحثاً عن أنظمة تشغل خدمات cPanel وWHM.
4. استغلال الأنظمة التي تم تحديدها تلقائياً باستخدام الثغرة المفصلة أدناه.
5. تسريب البيانات المسروقة إلى خادم التحكم.

هذا حول كل سير عمل يتم تشغيله إلى عقدة مسح واستغلال، مستخدماً البنية التحتية المجانية لـ GitHub كمنصة موزعة للهجوم .

الثغرة: CVE-2026-41940

كان الهدف من الحملة هو CVE-2026-41940، وهي ثغرة حرجة في cPanel ومدير الاستضافة WebHost Manager (WHM) .

• النوع: تجاوز للمصادقة قبل التحقق من الهوية .
• الخطورة: 9.8 (حرجة) وفقاً لنظام CVSS .
• السبب الجذري: ثغرة حقن CRLF (إرجاع العربة وتغذية السطر) في معالج المصادقة الأساسي cpsrvd . يمكن لمهاجم غير موثوق إرسال رأس Authorization مصمم يحتوي على أحرف سطر جديد خام. سمح هذا لهم بحقن خصائص عشوائية في ملف جلسة، مثل user=root وhasroot=1، مما يمنحهم فعلياً وصولاً إدارياً على مستوى الجذر لواجهة WHM دون الحاجة إلى كلمة مرور صالحة .
• تاريخ التصحيح: أصدرت cPanel تحديثاً أمنياً في 28 أبريل 2026 . هذا يعني أن المهاجمين كان لديهم تصحيح يعمل لمدة عدة أشهر لتحليله قبل بدء هذه الحملة.

ما الذي تمت سرقته

بمجرد نجاح الاستغلال على خادم cPanel/WHM مخترق، صُممت حمولة ما بعد الاستغلال لجمع مجموعة واسعة من بيانات الاعتماد والأسرار. شملت الأهداف الأساسية :

• بيانات اعتماد السحابة: مفاتيح Amazon Web Services (AWS).
• رموز التحكم بالمصدر: رموز GitHub، رموز GitLab.
• مفاتيح API: مفاتيح OpenAI، Google API.
• معالجة الدفع: مفاتيح Stripe.
• بيانات اعتماد خدمات البريد الإلكتروني: (مثل Mailgun، SendGrid).
• البنية التحتية: مفاتيح SSH الخاصة، بيانات اعتماد قواعد البيانات.
• بيانات التكوين: تكوينات Git عن بُعد.

يشير سرقة هذه المجموعة الواسعة من بيانات الاعتماد إلى عملية انتهازية غير محددة البيانات تهدف إلى الحصول على أي رموز وصول قيّمة موجودة على الخادم المخترق .

نطاق الحملة: آلاف المستودعات الإضافية المخترقة

كانت ملفات سير العمل الـ583 في حزم Packagist العشرة مجرد بداية الاكتشاف. من خلال التوسع بناءً على مؤشرات المهاجم مثل اسم نطاق رد الاتصال DNSHook المشترك وأنماط إعادة استخدام الكود، اكتشف الباحثون عملية أكبر بكثير :

• حوالي 6,100 ملف سير عمل مرتبطة مباشرة بنفس البنية التحتية الأولية للمهاجم .
• حوالي 15,000 إلى 16,000 ملف سير عمل على GitHub تطابق أنماطاً ذات صلة من الحملة .

يشير هذا التفاوت الكبير بقوة إلى أن المهاجمين اخترقوا العديد من حسابات المستخدمين والمستودعات الأخرى إلى جانب حساب dinushchathurya الواحد . لم تكن الحملة فشل نقطة واحدة بل عملية منسقة متعددة الحسابات. ذكر موقع The Hacker News هجوماً منفصلاً وسابقاً على سلسلة توريد Packagist في مايو 2026 اخترق 8 حزم بعناصر خبيثة ذات صلة ، مما يسلط الضوء بشكل أكبر على ضعف النظام البيئي.

المخاطر المستمرة: لماذا من المرجح أن تكون الحملة لا تزال نشطة

تشكل الحملة تهديداً مستمراً لأن البنية التحتية للمهاجم لم يتم تحييدها بالكامل. قد تستمر الحملة من خلال :

• النسخ والمرايا: قد تبقى ملفات سير العمل الخبيثة في نسخ مفروعة أو منسوخة من المستودعات المخترقة.
• اللقطات المخبأة: قد تحتوي ذاكرة التخزين المؤقت الخاصة بـ GitHub على إصدارات سير العمل الخبيثة.
• بيانات الاعتماد المسروقة: تظل بيانات الاعتماد التي تم تسريبها بحوزة المهاجم ويمكن استخدامها للحركة الجانبية أو الهجمات المستقبلية.
• البنية التحتية الناجية للتحكم: قد يظل خادم التحكم (43[.]228[.]157[.]68) قيد التشغيل ويستقبل البيانات بنشاط .

بينما تم تعليق حساب المطور الأصلي على Packagist، فإن النطاق الهائل لملفات سير العمل المتطابقة (حتى ~16,000) يعني أن العملية لها بصمة واسعة يصعب القضاء عليها تماماً .

الإجراءات الدفاعية المطلوبة

بناءً على التحليل المنشور، يجب على المؤسسات والمطورين اتخاذ الإجراءات التالية فوراً :

1. تطبيق تصحيح cPanel/WHM فوراً: تم تصحيح CVE-2026-41940 في 28 أبريل 2026. أي تثبيت cPanel أو WHM (إصدارات بعد 11.40) لم يتم تحديثه يمكن استغلاله بسهولة من قبل مهاجمين غير موثوقين عن بُعد. هذه هي أهم خطوة.
2. تدقيق جميع سير عمل GitHub Actions: راجع كل ملف YAML لسير العمل في مستودعاتك، خاصة تلك التي:
   • تقوم بتنزيل وتنفيذ برامج خارجية.
   • تقوم باتصالات شبكة صادرة.
   • تعمل على أحداث push أو workflow_dispatch دون مراجعة يدوية.
   • موجودة في فروع التطوير أو الميزات التي قد تتم مزامنتها تلقائياً بواسطة مدير الحزم.
3. تدوير جميع بيانات الاعتماد المكشوفة: افترض أن أي بيانات اعتماد كانت موجودة على خادم cPanel/WHM مخترق قد تمت سرقتها. يشمل ذلك على سبيل المثال لا الحصر:
   • مفاتيح موفري السحابة (AWS, GCP, Azure).
   • رموز API (OpenAI, Google, Stripe).
   • مفاتيح SSH وكلمات مرور قواعد البيانات.
   • رموز إدارة الكود المصدري (GitHub, GitLab).
4. التحقق من مؤشرات الاختراق المعروفة (IOCs): ابحث في سجلاتك عن اتصالات شبكة بعنوان IP الخاص بجهاز التحكم (43[.]228[.]157[.]68) واسم نطاق رد الاتصال DNSHook المعروف .
5. تعزيز أمن المستودعات وإدارة الحزم:
   • قم بتفعيل قواعد حماية الفروع على جميع فروع التطوير.
   • طلب التوقيع على الالتزامات.
   • تجنب المزامنة التلقائية لسجلات الحزم (مثل Packagist) مباشرة من فروع المستودع دون خطوة مراجعة .
6. مراجعة إصدارات التطوير على Packagist: عند تدقيق التبعيات، افحص على وجه التحديد إصدارات التطوير (dev-master, dev-main) بحثاً عن ملفات .github/workflows/ غير متوقعة، حيث قد يكون كود PHP نفسه نظيفاً بينما يعيش الهجوم بالكامل في تكوين CI/CD .