هجوم ضخم على سلسلة التوريد يحوّل خوادم GitHub إلى بوت نت لاستغلال ثغرة cPanel
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح ب...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات
تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح بتجاوز المصادقة ومنح صلاحيات الجذر دون كلمة مرور
سرق المهاجمون مفاتيح AWS وGitHub وGitLab وOpenAI وGoogle API ومفاتيح Stripe وبيانات SSH وقواعد البيانات، مع وجود أدلة على اختراق آلاف الحسابات والمستودعات الأخرى
يجب على المؤسسات تطبيق التصحيح الأمني فوراً وتدقيق جميع ملفات سير العمل في GitHub Actions وتدوير جميع بيانات الاعتماد المخترقة
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
في أواخر يوليو 2026، كشف باحثو الأمن السيبراني عن حملة غير مسبوقة في حجمها استهدفت سلاسل التوريد البرمجية وبيئات CI/CD. تمكن المهاجمون من اختراق حساب مطور PHP على Packagist، السجل الرئيسي لحزم PHP، واستخدموه لحقن مئات من ملفات سير العمل الخبيثة الخاصة بـ GitHub Actions في مستودعات برمجية مفتوحة المصدر. لم يكن الهدف هو إصابة كود PHP، بل تحويل خوادم CI/CD المجانية من GitHub إلى بوت نت موزع يمكن التخلص منه لاستغلال ثغرة حرجة في cPanel وWHM، لوحة التحكم المستخدمة على نطاق واسع في استضافة المواقع .
إليك تفصيل للحملة، الثغرة التي استغلتها، ما الذي تمت سرقته، النطاق الحقيقي للعملية، والإجراءات الدفاعية الواجب اتخاذها فوراً.
الحملة: تحويل خوادم GitHub إلى بوت نت
نقطة الاختراق: حساب Packagist مخترق
بدأ الهجوم باختراق حساب Packagist الخاص بمطور PHP حقيقي يُدعى ، وذلك بين 12 و13 يوليو 2026 . تم تصميم Packagist لمزامنة إصدارات الحزم تلقائياً من مستودعاتها المصدرية. قام المهاجمون باستغلال هذه الميزة عن طريق دفع إصدارات تطوير خبيثة (dev-main) لجميع المرتبطة بحساب المطور، والتي قام Packagist بمعالجتها وإتاحتها . كانت هذه الحزم العشر عبارة عن مكتبات PHP شرعية، لكن الهجوم لم يستهدف مستخدميها عبر كود PHP.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم ضخم على سلسلة التوريد يحوّل خوادم GitHub إلى بوت نت لاستغلال ثغرة cPanel"؟
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح بتجاوز المصادقة ومنح صلاحيات الجذر دون كلمة مرور
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
سرق المهاجمون مفاتيح AWS وGitHub وGitLab وOpenAI وGoogle API ومفاتيح Stripe وبيانات SSH وقواعد البيانات، مع وجود أدلة على اختراق آلاف الحسابات والمستودعات الأخرى
هجوم ضخم على سلسلة التوريد يحوّل خوادم GitHub إلى بوت نت لاستغلال ثغرة cPanel
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح ب...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات
تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح بتجاوز المصادقة ومنح صلاحيات الجذر دون كلمة مرور
سرق المهاجمون مفاتيح AWS وGitHub وGitLab وOpenAI وGoogle API ومفاتيح Stripe وبيانات SSH وقواعد البيانات، مع وجود أدلة على اختراق آلاف الحسابات والمستودعات الأخرى
يجب على المؤسسات تطبيق التصحيح الأمني فوراً وتدقيق جميع ملفات سير العمل في GitHub Actions وتدوير جميع بيانات الاعتماد المخترقة
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
في أواخر يوليو 2026، كشف باحثو الأمن السيبراني عن حملة غير مسبوقة في حجمها استهدفت سلاسل التوريد البرمجية وبيئات CI/CD. تمكن المهاجمون من اختراق حساب مطور PHP على Packagist، السجل الرئيسي لحزم PHP، واستخدموه لحقن مئات من ملفات سير العمل الخبيثة الخاصة بـ GitHub Actions في مستودعات برمجية مفتوحة المصدر. لم يكن الهدف هو إصابة كود PHP، بل تحويل خوادم CI/CD المجانية من GitHub إلى بوت نت موزع يمكن التخلص منه لاستغلال ثغرة حرجة في cPanel وWHM، لوحة التحكم المستخدمة على نطاق واسع في استضافة المواقع .
إليك تفصيل للحملة، الثغرة التي استغلتها، ما الذي تمت سرقته، النطاق الحقيقي للعملية، والإجراءات الدفاعية الواجب اتخاذها فوراً.
الحملة: تحويل خوادم GitHub إلى بوت نت
نقطة الاختراق: حساب Packagist مخترق
بدأ الهجوم باختراق حساب Packagist الخاص بمطور PHP حقيقي يُدعى ، وذلك بين 12 و13 يوليو 2026 . تم تصميم Packagist لمزامنة إصدارات الحزم تلقائياً من مستودعاتها المصدرية. قام المهاجمون باستغلال هذه الميزة عن طريق دفع إصدارات تطوير خبيثة (dev-main) لجميع المرتبطة بحساب المطور، والتي قام Packagist بمعالجتها وإتاحتها . كانت هذه الحزم العشر عبارة عن مكتبات PHP شرعية، لكن الهجوم لم يستهدف مستخدميها عبر كود PHP.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم ضخم على سلسلة التوريد يحوّل خوادم GitHub إلى بوت نت لاستغلال ثغرة cPanel"؟
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
هجوم واسع النطاق تم الكشف عنه في 22 23 يوليو 2026، حيث اخترق المهاجمون حساب مطور PHP (dinushchathurya) على Packagist وحقنوا 583 ملف سير عمل خبيث في GitHub Actions عبر عشرة مستودعات تم تحويل خوادم GitHub Actions المجانية إلى بوت نت موزع لمسح واستغلال ثغرة CVE 2026 41940 في cPanel وWHM، وهي ثغرة حرجة (CVSS 9.8) تسمح بتجاوز المصادقة ومنح صلاحيات الجذر دون كلمة مرور
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
سرق المهاجمون مفاتيح AWS وGitHub وGitLab وOpenAI وGoogle API ومفاتيح Stripe وبيانات SSH وقواعد البيانات، مع وجود أدلة على اختراق آلاف الحسابات والمستودعات الأخرى
لم يكن جوهر الهجوم في كود PHP نفسه؛ إذ ظلت مكتبات PHP حميدة بدون أي خطافات تثبيت أو نشاط شبكة خبيث . بدلاً من ذلك، قام المهاجمون بحقن 583 ملف سير عمل خبيث من GitHub Actions (.github/workflows/*.yml) في المستودعات المصدرية للمطور. احتوى كل إصدار حزمة متأثر على ما بين 55 و62 ملف سير عمل . سير عمل GitHub Actions هي ملفات YAML تحدد مهاماً آلية مثل تشغيل الاختبارات أو نشر الكود. قام المهاجمون بإعادة استخدام هذه البنية التحتية للأتمتة الشرعية.
الآلية الخبيثة
بمجرد أن يؤدي نسخ (fork) أو استنساخ للمستودع المخترق إلى تشغيل سير عمل (على سبيل المثال، عند حدث push)، يقوم ملف .yml الخبيث بتعليمات لخادم Ubuntu المستضاف على GitHub بما يلي :
اكتشاف بنية وحدة المعالجة المركزية للخادم.
تنزيل حمولة مسح واستغلال من خادم تحكم (C2) على عنوان IP 43[.]228[.]157[.]68.
مسح الإنترنت بحثاً عن أنظمة تشغل خدمات cPanel وWHM.
استغلال الأنظمة التي تم تحديدها تلقائياً باستخدام الثغرة المفصلة أدناه.
تسريب البيانات المسروقة إلى خادم التحكم.
هذا حول كل سير عمل يتم تشغيله إلى عقدة مسح واستغلال، مستخدماً البنية التحتية المجانية لـ GitHub كمنصة موزعة للهجوم .
الثغرة: CVE-2026-41940
كان الهدف من الحملة هو CVE-2026-41940، وهي ثغرة حرجة في cPanel ومدير الاستضافة WebHost Manager (WHM) .
النوع: تجاوز للمصادقة قبل التحقق من الهوية .
الخطورة: 9.8 (حرجة) وفقاً لنظام CVSS .
السبب الجذري: ثغرة حقن CRLF (إرجاع العربة وتغذية السطر) في معالج المصادقة الأساسي cpsrvd. يمكن لمهاجم غير موثوق إرسال رأس Authorization مصمم يحتوي على أحرف سطر جديد خام. سمح هذا لهم بحقن خصائص عشوائية في ملف جلسة، مثل user=root وhasroot=1، مما يمنحهم فعلياً وصولاً إدارياً على مستوى الجذر لواجهة WHM دون الحاجة إلى كلمة مرور صالحة .
تاريخ التصحيح: أصدرت cPanel تحديثاً أمنياً في 28 أبريل 2026. هذا يعني أن المهاجمين كان لديهم تصحيح يعمل لمدة عدة أشهر لتحليله قبل بدء هذه الحملة.
ما الذي تمت سرقته
بمجرد نجاح الاستغلال على خادم cPanel/WHM مخترق، صُممت حمولة ما بعد الاستغلال لجمع مجموعة واسعة من بيانات الاعتماد والأسرار. شملت الأهداف الأساسية :
بيانات اعتماد السحابة: مفاتيح Amazon Web Services (AWS).
رموز التحكم بالمصدر: رموز GitHub، رموز GitLab.
مفاتيح API: مفاتيح OpenAI، Google API.
معالجة الدفع: مفاتيح Stripe.
بيانات اعتماد خدمات البريد الإلكتروني: (مثل Mailgun، SendGrid).
البنية التحتية: مفاتيح SSH الخاصة، بيانات اعتماد قواعد البيانات.
بيانات التكوين: تكوينات Git عن بُعد.
يشير سرقة هذه المجموعة الواسعة من بيانات الاعتماد إلى عملية انتهازية غير محددة البيانات تهدف إلى الحصول على أي رموز وصول قيّمة موجودة على الخادم المخترق .
نطاق الحملة: آلاف المستودعات الإضافية المخترقة
كانت ملفات سير العمل الـ583 في حزم Packagist العشرة مجرد بداية الاكتشاف. من خلال التوسع بناءً على مؤشرات المهاجم مثل اسم نطاق رد الاتصال DNSHook المشترك وأنماط إعادة استخدام الكود، اكتشف الباحثون عملية أكبر بكثير :
حوالي 6,100 ملف سير عمل مرتبطة مباشرة بنفس البنية التحتية الأولية للمهاجم .
حوالي 15,000 إلى 16,000 ملف سير عمل على GitHub تطابق أنماطاً ذات صلة من الحملة .
يشير هذا التفاوت الكبير بقوة إلى أن المهاجمين اخترقوا العديد من حسابات المستخدمين والمستودعات الأخرى إلى جانب حساب dinushchathurya الواحد . لم تكن الحملة فشل نقطة واحدة بل عملية منسقة متعددة الحسابات. ذكر موقع The Hacker News هجوماً منفصلاً وسابقاً على سلسلة توريد Packagist في مايو 2026 اخترق 8 حزم بعناصر خبيثة ذات صلة ، مما يسلط الضوء بشكل أكبر على ضعف النظام البيئي.
المخاطر المستمرة: لماذا من المرجح أن تكون الحملة لا تزال نشطة
تشكل الحملة تهديداً مستمراً لأن البنية التحتية للمهاجم لم يتم تحييدها بالكامل. قد تستمر الحملة من خلال :
النسخ والمرايا: قد تبقى ملفات سير العمل الخبيثة في نسخ مفروعة أو منسوخة من المستودعات المخترقة.
اللقطات المخبأة: قد تحتوي ذاكرة التخزين المؤقت الخاصة بـ GitHub على إصدارات سير العمل الخبيثة.
بيانات الاعتماد المسروقة: تظل بيانات الاعتماد التي تم تسريبها بحوزة المهاجم ويمكن استخدامها للحركة الجانبية أو الهجمات المستقبلية.
البنية التحتية الناجية للتحكم: قد يظل خادم التحكم (43[.]228[.]157[.]68) قيد التشغيل ويستقبل البيانات بنشاط .
بينما تم تعليق حساب المطور الأصلي على Packagist، فإن النطاق الهائل لملفات سير العمل المتطابقة (حتى ~16,000) يعني أن العملية لها بصمة واسعة يصعب القضاء عليها تماماً .
الإجراءات الدفاعية المطلوبة
بناءً على التحليل المنشور، يجب على المؤسسات والمطورين اتخاذ الإجراءات التالية فوراً :
تطبيق تصحيح cPanel/WHM فوراً: تم تصحيح CVE-2026-41940 في 28 أبريل 2026. أي تثبيت cPanel أو WHM (إصدارات بعد 11.40) لم يتم تحديثه يمكن استغلاله بسهولة من قبل مهاجمين غير موثوقين عن بُعد. هذه هي أهم خطوة.
تدقيق جميع سير عمل GitHub Actions: راجع كل ملف YAML لسير العمل في مستودعاتك، خاصة تلك التي:
تقوم بتنزيل وتنفيذ برامج خارجية.
تقوم باتصالات شبكة صادرة.
تعمل على أحداث push أو workflow_dispatch دون مراجعة يدوية.
موجودة في فروع التطوير أو الميزات التي قد تتم مزامنتها تلقائياً بواسطة مدير الحزم.
تدوير جميع بيانات الاعتماد المكشوفة: افترض أن أي بيانات اعتماد كانت موجودة على خادم cPanel/WHM مخترق قد تمت سرقتها. يشمل ذلك على سبيل المثال لا الحصر:
مفاتيح موفري السحابة (AWS, GCP, Azure).
رموز API (OpenAI, Google, Stripe).
مفاتيح SSH وكلمات مرور قواعد البيانات.
رموز إدارة الكود المصدري (GitHub, GitLab).
التحقق من مؤشرات الاختراق المعروفة (IOCs): ابحث في سجلاتك عن اتصالات شبكة بعنوان IP الخاص بجهاز التحكم (43[.]228[.]157[.]68) واسم نطاق رد الاتصال DNSHook المعروف .
تعزيز أمن المستودعات وإدارة الحزم:
قم بتفعيل قواعد حماية الفروع على جميع فروع التطوير.
طلب التوقيع على الالتزامات.
تجنب المزامنة التلقائية لسجلات الحزم (مثل Packagist) مباشرة من فروع المستودع دون خطوة مراجعة .
مراجعة إصدارات التطوير على Packagist: عند تدقيق التبعيات، افحص على وجه التحديد إصدارات التطوير (dev-master, dev-main) بحثاً عن ملفات .github/workflows/ غير متوقعة، حيث قد يكون كود PHP نفسه نظيفاً بينما يعيش الهجوم بالكامل في تكوين CI/CD .
لم يكن جوهر الهجوم في كود PHP نفسه؛ إذ ظلت مكتبات PHP حميدة بدون أي خطافات تثبيت أو نشاط شبكة خبيث . بدلاً من ذلك، قام المهاجمون بحقن 583 ملف سير عمل خبيث من GitHub Actions (.github/workflows/*.yml) في المستودعات المصدرية للمطور. احتوى كل إصدار حزمة متأثر على ما بين 55 و62 ملف سير عمل . سير عمل GitHub Actions هي ملفات YAML تحدد مهاماً آلية مثل تشغيل الاختبارات أو نشر الكود. قام المهاجمون بإعادة استخدام هذه البنية التحتية للأتمتة الشرعية.
الآلية الخبيثة
بمجرد أن يؤدي نسخ (fork) أو استنساخ للمستودع المخترق إلى تشغيل سير عمل (على سبيل المثال، عند حدث push)، يقوم ملف .yml الخبيث بتعليمات لخادم Ubuntu المستضاف على GitHub بما يلي :
اكتشاف بنية وحدة المعالجة المركزية للخادم.
تنزيل حمولة مسح واستغلال من خادم تحكم (C2) على عنوان IP 43[.]228[.]157[.]68.
مسح الإنترنت بحثاً عن أنظمة تشغل خدمات cPanel وWHM.
استغلال الأنظمة التي تم تحديدها تلقائياً باستخدام الثغرة المفصلة أدناه.
تسريب البيانات المسروقة إلى خادم التحكم.
هذا حول كل سير عمل يتم تشغيله إلى عقدة مسح واستغلال، مستخدماً البنية التحتية المجانية لـ GitHub كمنصة موزعة للهجوم .
الثغرة: CVE-2026-41940
كان الهدف من الحملة هو CVE-2026-41940، وهي ثغرة حرجة في cPanel ومدير الاستضافة WebHost Manager (WHM) .
النوع: تجاوز للمصادقة قبل التحقق من الهوية .
الخطورة: 9.8 (حرجة) وفقاً لنظام CVSS .
السبب الجذري: ثغرة حقن CRLF (إرجاع العربة وتغذية السطر) في معالج المصادقة الأساسي cpsrvd. يمكن لمهاجم غير موثوق إرسال رأس Authorization مصمم يحتوي على أحرف سطر جديد خام. سمح هذا لهم بحقن خصائص عشوائية في ملف جلسة، مثل user=root وhasroot=1، مما يمنحهم فعلياً وصولاً إدارياً على مستوى الجذر لواجهة WHM دون الحاجة إلى كلمة مرور صالحة .
تاريخ التصحيح: أصدرت cPanel تحديثاً أمنياً في 28 أبريل 2026. هذا يعني أن المهاجمين كان لديهم تصحيح يعمل لمدة عدة أشهر لتحليله قبل بدء هذه الحملة.
ما الذي تمت سرقته
بمجرد نجاح الاستغلال على خادم cPanel/WHM مخترق، صُممت حمولة ما بعد الاستغلال لجمع مجموعة واسعة من بيانات الاعتماد والأسرار. شملت الأهداف الأساسية :
بيانات اعتماد السحابة: مفاتيح Amazon Web Services (AWS).
رموز التحكم بالمصدر: رموز GitHub، رموز GitLab.
مفاتيح API: مفاتيح OpenAI، Google API.
معالجة الدفع: مفاتيح Stripe.
بيانات اعتماد خدمات البريد الإلكتروني: (مثل Mailgun، SendGrid).
البنية التحتية: مفاتيح SSH الخاصة، بيانات اعتماد قواعد البيانات.
بيانات التكوين: تكوينات Git عن بُعد.
يشير سرقة هذه المجموعة الواسعة من بيانات الاعتماد إلى عملية انتهازية غير محددة البيانات تهدف إلى الحصول على أي رموز وصول قيّمة موجودة على الخادم المخترق .
نطاق الحملة: آلاف المستودعات الإضافية المخترقة
كانت ملفات سير العمل الـ583 في حزم Packagist العشرة مجرد بداية الاكتشاف. من خلال التوسع بناءً على مؤشرات المهاجم مثل اسم نطاق رد الاتصال DNSHook المشترك وأنماط إعادة استخدام الكود، اكتشف الباحثون عملية أكبر بكثير :
حوالي 6,100 ملف سير عمل مرتبطة مباشرة بنفس البنية التحتية الأولية للمهاجم .
حوالي 15,000 إلى 16,000 ملف سير عمل على GitHub تطابق أنماطاً ذات صلة من الحملة .
يشير هذا التفاوت الكبير بقوة إلى أن المهاجمين اخترقوا العديد من حسابات المستخدمين والمستودعات الأخرى إلى جانب حساب dinushchathurya الواحد . لم تكن الحملة فشل نقطة واحدة بل عملية منسقة متعددة الحسابات. ذكر موقع The Hacker News هجوماً منفصلاً وسابقاً على سلسلة توريد Packagist في مايو 2026 اخترق 8 حزم بعناصر خبيثة ذات صلة ، مما يسلط الضوء بشكل أكبر على ضعف النظام البيئي.
المخاطر المستمرة: لماذا من المرجح أن تكون الحملة لا تزال نشطة
تشكل الحملة تهديداً مستمراً لأن البنية التحتية للمهاجم لم يتم تحييدها بالكامل. قد تستمر الحملة من خلال :
النسخ والمرايا: قد تبقى ملفات سير العمل الخبيثة في نسخ مفروعة أو منسوخة من المستودعات المخترقة.
اللقطات المخبأة: قد تحتوي ذاكرة التخزين المؤقت الخاصة بـ GitHub على إصدارات سير العمل الخبيثة.
بيانات الاعتماد المسروقة: تظل بيانات الاعتماد التي تم تسريبها بحوزة المهاجم ويمكن استخدامها للحركة الجانبية أو الهجمات المستقبلية.
البنية التحتية الناجية للتحكم: قد يظل خادم التحكم (43[.]228[.]157[.]68) قيد التشغيل ويستقبل البيانات بنشاط .
بينما تم تعليق حساب المطور الأصلي على Packagist، فإن النطاق الهائل لملفات سير العمل المتطابقة (حتى ~16,000) يعني أن العملية لها بصمة واسعة يصعب القضاء عليها تماماً .
الإجراءات الدفاعية المطلوبة
بناءً على التحليل المنشور، يجب على المؤسسات والمطورين اتخاذ الإجراءات التالية فوراً :
تطبيق تصحيح cPanel/WHM فوراً: تم تصحيح CVE-2026-41940 في 28 أبريل 2026. أي تثبيت cPanel أو WHM (إصدارات بعد 11.40) لم يتم تحديثه يمكن استغلاله بسهولة من قبل مهاجمين غير موثوقين عن بُعد. هذه هي أهم خطوة.
تدقيق جميع سير عمل GitHub Actions: راجع كل ملف YAML لسير العمل في مستودعاتك، خاصة تلك التي:
تقوم بتنزيل وتنفيذ برامج خارجية.
تقوم باتصالات شبكة صادرة.
تعمل على أحداث push أو workflow_dispatch دون مراجعة يدوية.
موجودة في فروع التطوير أو الميزات التي قد تتم مزامنتها تلقائياً بواسطة مدير الحزم.
تدوير جميع بيانات الاعتماد المكشوفة: افترض أن أي بيانات اعتماد كانت موجودة على خادم cPanel/WHM مخترق قد تمت سرقتها. يشمل ذلك على سبيل المثال لا الحصر:
مفاتيح موفري السحابة (AWS, GCP, Azure).
رموز API (OpenAI, Google, Stripe).
مفاتيح SSH وكلمات مرور قواعد البيانات.
رموز إدارة الكود المصدري (GitHub, GitLab).
التحقق من مؤشرات الاختراق المعروفة (IOCs): ابحث في سجلاتك عن اتصالات شبكة بعنوان IP الخاص بجهاز التحكم (43[.]228[.]157[.]68) واسم نطاق رد الاتصال DNSHook المعروف .
تعزيز أمن المستودعات وإدارة الحزم:
قم بتفعيل قواعد حماية الفروع على جميع فروع التطوير.
طلب التوقيع على الالتزامات.
تجنب المزامنة التلقائية لسجلات الحزم (مثل Packagist) مباشرة من فروع المستودع دون خطوة مراجعة .
مراجعة إصدارات التطوير على Packagist: عند تدقيق التبعيات، افحص على وجه التحديد إصدارات التطوير (dev-master, dev-main) بحثاً عن ملفات .github/workflows/ غير متوقعة، حيث قد يكون كود PHP نفسه نظيفاً بينما يعيش الهجوم بالكامل في تكوين CI/CD .
