Masivní útok na dodavatelský řetězec: 583 škodlivých GitHub Actions Workflows zneužilo zero-day v cPanel (CVE-2026-41940)
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů. Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů.
Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na kritickou zranitelnost CVE 2026 41940 v cPanel a WHM (CVSS 9.8).
Útok umožnil neautentizovaným útočníkům získat root přístup k WHM rozhraní – kradli AWS klíče, GitHub a GitLab tokeny, OpenAI a Google API klíče, Stripe klíče, SSH klíče, databázová hesla a další.
Rozsah kampaně je mnohem větší než jen jeden kompromitovaný účet – na GitHubu bylo nalezeno přibližně 6 100 až 16 000 odpovídajících workflow souborů, což naznačuje kompromitaci mnoha dalších vývojářských účtů.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
V druhé polovině července 2026 bezpečnostní výzkumníci odhalili dosud nevídanou kampaň zaměřenou na dodavatelský řetězec a zneužití CI/CD. Útočníci kompromitovali účet PHP vývojáře na Packagistu, hlavním PHP balíčkovém rejstříku, a využili ho k vložení stovek škodlivých GitHub Actions workflow souborů do open-source repozitářů. Cílem nebylo infikovat PHP kód, ale proměnit bezplatné CI/CD runnery GitHubu v distribuovanou a jednorázovou botnetovou síť pro zneužití kritické zranitelnosti v cPanel a WHM, tedy široce používaném ovládacím panelu pro webhosting .
Zde je přehled kampaně, zranitelnosti, kterou zneužila, co bylo odcizeno, skutečný rozsah operace a obranná opatření, která musíte implementovat.
Kampaň: Proměna GitHub Runnerů v Botnet
Vstupní bod: Kompromitovaný Packagist účet
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Masivní útok na dodavatelský řetězec: 583 škodlivých GitHub Actions Workflows zneužilo zero-day v cPanel (CVE-2026-41940)"?
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů.
What are the key points to validate first?
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů. Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na kritickou zranitelnost CVE 2026 41940 v cPanel a WHM (CVSS 9.8).
What should I do next in practice?
Útok umožnil neautentizovaným útočníkům získat root přístup k WHM rozhraní – kradli AWS klíče, GitHub a GitLab tokeny, OpenAI a Google API klíče, Stripe klíče, SSH klíče, databázová hesla a další.
Masivní útok na dodavatelský řetězec: 583 škodlivých GitHub Actions Workflows zneužilo zero-day v cPanel (CVE-2026-41940)
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů. Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů.
Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na kritickou zranitelnost CVE 2026 41940 v cPanel a WHM (CVSS 9.8).
Útok umožnil neautentizovaným útočníkům získat root přístup k WHM rozhraní – kradli AWS klíče, GitHub a GitLab tokeny, OpenAI a Google API klíče, Stripe klíče, SSH klíče, databázová hesla a další.
Rozsah kampaně je mnohem větší než jen jeden kompromitovaný účet – na GitHubu bylo nalezeno přibližně 6 100 až 16 000 odpovídajících workflow souborů, což naznačuje kompromitaci mnoha dalších vývojářských účtů.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
V druhé polovině července 2026 bezpečnostní výzkumníci odhalili dosud nevídanou kampaň zaměřenou na dodavatelský řetězec a zneužití CI/CD. Útočníci kompromitovali účet PHP vývojáře na Packagistu, hlavním PHP balíčkovém rejstříku, a využili ho k vložení stovek škodlivých GitHub Actions workflow souborů do open-source repozitářů. Cílem nebylo infikovat PHP kód, ale proměnit bezplatné CI/CD runnery GitHubu v distribuovanou a jednorázovou botnetovou síť pro zneužití kritické zranitelnosti v cPanel a WHM, tedy široce používaném ovládacím panelu pro webhosting .
Zde je přehled kampaně, zranitelnosti, kterou zneužila, co bylo odcizeno, skutečný rozsah operace a obranná opatření, která musíte implementovat.
Kampaň: Proměna GitHub Runnerů v Botnet
Vstupní bod: Kompromitovaný Packagist účet
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Masivní útok na dodavatelský řetězec: 583 škodlivých GitHub Actions Workflows zneužilo zero-day v cPanel (CVE-2026-41940)"?
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů.
What are the key points to validate first?
Bezpečnostní výzkumníci odhalili kampaň, při které útočníci kompromitovali Packagist účet PHP vývojáře dinushchathurya a vložili 583 škodlivých GitHub Actions workflow souborů do deseti repozitářů. Škodlivé workflow proměnily GitHub hostované Ubuntu runner v distribuovanou skenovací a explotační síť, která cílila na kritickou zranitelnost CVE 2026 41940 v cPanel a WHM (CVSS 9.8).
What should I do next in practice?
Útok umožnil neautentizovaným útočníkům získat root přístup k WHM rozhraní – kradli AWS klíče, GitHub a GitLab tokeny, OpenAI a Google API klíče, Stripe klíče, SSH klíče, databázová hesla a další.
Útok začal kompromitací Packagist účtu patřícího legitimnímu PHP a DevOps vývojáři s přezdívkou dinushchathurya, a to mezi 12. a 13. červencem 2026 . Packagist je navržen tak, aby automaticky synchronizoval verze balíčků z jejich zdrojových repozitářů. Této funkce útočníci zneužili: do všech deseti balíčků spojených s vývojářovým účtem nahráli škodlivé "dev-main" verze, které Packagist následně ingestoval a zpřístupnil . Deset balíčků byly legitimní PHP knihovny, ale útok necílil na jejich uživatele prostřednictvím PHP kódu.
583 škodlivých workflow souborů
Jádro útoku nebylo v samotném PHP kódu – PHP knihovny zůstaly neškodné, bez jakýchkoli instalačních hooků nebo škodlivé síťové aktivity . Místo toho útočníci vložili 583 škodlivých GitHub Actions workflow souborů (.github/workflows/*.yml) do zdrojových repozitářů vývojáře. Každý postižený balíček obsahoval 55 až 62 těchto workflow souborů . GitHub Actions workflow jsou YAML soubory, které definují automatizované úkoly, jako je spouštění testů nebo nasazování kódu. Útočníci tuto legitimní automatizační infrastrukturu zneužili.
Škodlivý mechanismus
Jakmile fork nebo kopie kompromitovaného repozitáře spustila workflow (např. při události push), škodlivý .yml soubor instruoval GitHub-hostovaný Ubuntu runner, aby :
Zjistil architekturu CPU runneru.
Stáhl si skenovací a explotační payload z command-and-control (C2) serveru na IP adrese 43[.]228[.]157[.]68.
Skenoval internet pro systémy běžící se službami cPanel a WHM.
Automaticky zneužil identifikované systémy pomocí níže popsané zranitelnosti.
Odeslal odcizená data zpět na C2 server.
Tím se každé spuštěné workflow proměnilo ve skenovací a explotační uzel, který využíval bezplatnou infrastrukturu GitHubu jako distribuovanou platformu pro útok .
Zranitelnost: CVE-2026-41940
Cílem kampaně byla CVE-2026-41940, kritická zranitelnost v cPanel a WebHost Manager (WHM) .
Typ: Obcházení autentizace před autentizací .
Závažnost: CVSS 9.8 (kritická) .
Hlavní příčina: CRLF (Carriage Return Line Feed) injekce v cpsrvd obsluze základní autentizace . Neautentizovaný útočník mohl odeslat upravenou Authorization hlavičku obsahující znaky nového řádku. To mu umožnilo vložit libovolné vlastnosti do session souboru, například user=root a hasroot=1, čímž získal root přístup k WHM rozhraní bez platného hesla .
Datum záplaty: cPanel vydal bezpečnostní aktualizaci 28. dubna 2026. To znamená, že útočníci měli k dispozici funkční záplatu, kterou mohli několik měsíců před začátkem kampaně analyzovat.
Co bylo odcizeno
Jakmile exploit na kompromitovaném cPanel/WHM serveru uspěl, post-exploitační payload byl navržen k hromadnému sběru široké škály přihlašovacích údajů a tajemství. Mezi primární cíle patřily :
Cloudové přihlašovací údaje: Amazon Web Services (AWS) klíče.
Tokeny pro správu zdrojového kódu: GitHub tokeny, GitLab tokeny.
API klíče: OpenAI, Google API klíče.
Platební brány: Stripe klíče.
Přihlašovací údaje k e-mailovým službám: (např. Mailgun, SendGrid).
Krádež tak široké škály přihlašovacích údajů naznačuje oportunistický sběr všech cenných přístupových tokenů, které byly na kompromitovaném serveru k dispozici .
Rozsah kampaně: Tisíce dalších kompromitovaných repozitářů
583 workflow souborů v 10 Packagist balíčcích byl jen prvotní objev. Pivotováním na indikátory útočníků, jako je sdílená DNSHook callback doména a vzory opakovaného použití kódu, výzkumníci odhalili mnohem větší operaci :
~6 100 workflow souborů bylo přímo spojeno se stejnou počáteční útočnickou infrastrukturou .
~15 000 až 16 000 workflow souborů na GitHubu odpovídalo souvisejícím vzorům z kampaně .
Tento masivní nepoměr silně naznačuje, že útočníci kompromitovali mnoho dalších vývojářských účtů a repozitářů nad rámec jediného dinushchathurya účtu . Kampaň nebyla selháním jediného bodu, ale koordinovanou operací zahrnující více účtů. The Hacker News informoval o samostatném, dřívějším útoku na dodavatelský řetězec Packagistu v květnu 2026, který kompromitoval 8 balíčků s příbuznými škodlivými elementy , což dále zdůrazňuje zranitelnost ekosystému.
Přetrvávající riziko: Proč je kampaň pravděpodobně stále aktivní
Kampaň představuje trvalou hrozbu, protože útočnická infrastruktura není zcela neutralizována. Kampaň může pokračovat prostřednictvím :
Forků a zrcadel: Škodlivé workflow soubory mohou přetrvávat v forknutých nebo zrcadlených kopiích kompromitovaných repozitářů.
Cache snímků: Vlastní cache GitHubu mohou obsahovat škodlivé verze workflow.
Odcizených přihlašovacích údajů: Již exfiltrované přihlašovací údaje zůstávají v držení útočníků a mohou být použity pro laterální pohyb nebo budoucí útoky.
Přežívající C2 infrastruktury: C2 server (43[.]228[.]157[.]68) může být stále funkční a aktivně přijímat data .
Zatímco původní vývojářův Packagist účet byl pozastaven, obrovský rozsah odpovídajících workflow souborů (až ~16 000) znamená, že operace má široký záběr, který je obtížné zcela vymýtit .
Požadovaná obranná opatření
Na základě publikované analýzy by organizace a vývojáři měli okamžitě provést následující kroky :
Okamžitě aktualizujte cPanel/WHM: CVE-2026-41940 byla opravena 28. dubna 2026. Jakákoli instalace cPanel nebo WHM (verze po 11.40), která není aktualizována, je triviálně zneužitelná neautentizovanými vzdálenými útočníky. Toto je nejdůležitější krok.
Auditujte všechny GitHub Actions workflow: Zkontrolujte každý workflow YAML soubor ve vašich repozitářích, zejména ty, které:
Stahují a spouštějí externí binární soubory.
Vytvářejí odchozí síťová spojení.
Spouštějí se na push nebo workflow_dispatch triggerech bez manuálního přezkoumání.
Jsou přítomny ve vývojových nebo feature větvích, které mohou být automaticky synchronizovány správcem balíčků.
Obměňte všechny odhalené přihlašovací údaje: Předpokládejte, že jakýkoli přihlašovací údaj přítomný na kompromitovaném cPanel/WHM serveru byl odcizen. To zahrnuje, ale není omezeno na:
Klíče cloudových providerů (AWS, GCP, Azure).
API tokeny (OpenAI, Google, Stripe).
SSH klíče a databázová hesla.
Tokeny pro správu zdrojového kódu (GitHub, GitLab).
Zkontrolujte známé indikátory kompromitace (IOC): Prohledejte své logy na síťová spojení s útočnickou C2 IP adresou (43[.]228[.]157[.]68) a známou DNSHook callback doménou .
Zabezpečte repozitáře a správu balíčků:
Povolte ochranu větví na všech vývojových větvích.
Vyžadujte podepsané commity.
Vyhněte se automatické synchronizaci balíčkových rejstříků (jako je Packagist) přímo z větví repozitáře bez kroku kontroly .
Zkontrolujte Packagist vývojové verze: Při auditu závislostí konkrétně zkoumejte vývojové verze (dev-master, dev-main) na neočekávané .github/workflows/ soubory, protože PHP kód samotný může být čistý, zatímco útok žije výhradně v CI/CD konfiguraci .
Útok začal kompromitací Packagist účtu patřícího legitimnímu PHP a DevOps vývojáři s přezdívkou dinushchathurya, a to mezi 12. a 13. červencem 2026 . Packagist je navržen tak, aby automaticky synchronizoval verze balíčků z jejich zdrojových repozitářů. Této funkce útočníci zneužili: do všech deseti balíčků spojených s vývojářovým účtem nahráli škodlivé "dev-main" verze, které Packagist následně ingestoval a zpřístupnil . Deset balíčků byly legitimní PHP knihovny, ale útok necílil na jejich uživatele prostřednictvím PHP kódu.
583 škodlivých workflow souborů
Jádro útoku nebylo v samotném PHP kódu – PHP knihovny zůstaly neškodné, bez jakýchkoli instalačních hooků nebo škodlivé síťové aktivity . Místo toho útočníci vložili 583 škodlivých GitHub Actions workflow souborů (.github/workflows/*.yml) do zdrojových repozitářů vývojáře. Každý postižený balíček obsahoval 55 až 62 těchto workflow souborů . GitHub Actions workflow jsou YAML soubory, které definují automatizované úkoly, jako je spouštění testů nebo nasazování kódu. Útočníci tuto legitimní automatizační infrastrukturu zneužili.
Škodlivý mechanismus
Jakmile fork nebo kopie kompromitovaného repozitáře spustila workflow (např. při události push), škodlivý .yml soubor instruoval GitHub-hostovaný Ubuntu runner, aby :
Zjistil architekturu CPU runneru.
Stáhl si skenovací a explotační payload z command-and-control (C2) serveru na IP adrese 43[.]228[.]157[.]68.
Skenoval internet pro systémy běžící se službami cPanel a WHM.
Automaticky zneužil identifikované systémy pomocí níže popsané zranitelnosti.
Odeslal odcizená data zpět na C2 server.
Tím se každé spuštěné workflow proměnilo ve skenovací a explotační uzel, který využíval bezplatnou infrastrukturu GitHubu jako distribuovanou platformu pro útok .
Zranitelnost: CVE-2026-41940
Cílem kampaně byla CVE-2026-41940, kritická zranitelnost v cPanel a WebHost Manager (WHM) .
Typ: Obcházení autentizace před autentizací .
Závažnost: CVSS 9.8 (kritická) .
Hlavní příčina: CRLF (Carriage Return Line Feed) injekce v cpsrvd obsluze základní autentizace . Neautentizovaný útočník mohl odeslat upravenou Authorization hlavičku obsahující znaky nového řádku. To mu umožnilo vložit libovolné vlastnosti do session souboru, například user=root a hasroot=1, čímž získal root přístup k WHM rozhraní bez platného hesla .
Datum záplaty: cPanel vydal bezpečnostní aktualizaci 28. dubna 2026. To znamená, že útočníci měli k dispozici funkční záplatu, kterou mohli několik měsíců před začátkem kampaně analyzovat.
Co bylo odcizeno
Jakmile exploit na kompromitovaném cPanel/WHM serveru uspěl, post-exploitační payload byl navržen k hromadnému sběru široké škály přihlašovacích údajů a tajemství. Mezi primární cíle patřily :
Cloudové přihlašovací údaje: Amazon Web Services (AWS) klíče.
Tokeny pro správu zdrojového kódu: GitHub tokeny, GitLab tokeny.
API klíče: OpenAI, Google API klíče.
Platební brány: Stripe klíče.
Přihlašovací údaje k e-mailovým službám: (např. Mailgun, SendGrid).
Krádež tak široké škály přihlašovacích údajů naznačuje oportunistický sběr všech cenných přístupových tokenů, které byly na kompromitovaném serveru k dispozici .
Rozsah kampaně: Tisíce dalších kompromitovaných repozitářů
583 workflow souborů v 10 Packagist balíčcích byl jen prvotní objev. Pivotováním na indikátory útočníků, jako je sdílená DNSHook callback doména a vzory opakovaného použití kódu, výzkumníci odhalili mnohem větší operaci :
~6 100 workflow souborů bylo přímo spojeno se stejnou počáteční útočnickou infrastrukturou .
~15 000 až 16 000 workflow souborů na GitHubu odpovídalo souvisejícím vzorům z kampaně .
Tento masivní nepoměr silně naznačuje, že útočníci kompromitovali mnoho dalších vývojářských účtů a repozitářů nad rámec jediného dinushchathurya účtu . Kampaň nebyla selháním jediného bodu, ale koordinovanou operací zahrnující více účtů. The Hacker News informoval o samostatném, dřívějším útoku na dodavatelský řetězec Packagistu v květnu 2026, který kompromitoval 8 balíčků s příbuznými škodlivými elementy , což dále zdůrazňuje zranitelnost ekosystému.
Přetrvávající riziko: Proč je kampaň pravděpodobně stále aktivní
Kampaň představuje trvalou hrozbu, protože útočnická infrastruktura není zcela neutralizována. Kampaň může pokračovat prostřednictvím :
Forků a zrcadel: Škodlivé workflow soubory mohou přetrvávat v forknutých nebo zrcadlených kopiích kompromitovaných repozitářů.
Cache snímků: Vlastní cache GitHubu mohou obsahovat škodlivé verze workflow.
Odcizených přihlašovacích údajů: Již exfiltrované přihlašovací údaje zůstávají v držení útočníků a mohou být použity pro laterální pohyb nebo budoucí útoky.
Přežívající C2 infrastruktury: C2 server (43[.]228[.]157[.]68) může být stále funkční a aktivně přijímat data .
Zatímco původní vývojářův Packagist účet byl pozastaven, obrovský rozsah odpovídajících workflow souborů (až ~16 000) znamená, že operace má široký záběr, který je obtížné zcela vymýtit .
Požadovaná obranná opatření
Na základě publikované analýzy by organizace a vývojáři měli okamžitě provést následující kroky :
Okamžitě aktualizujte cPanel/WHM: CVE-2026-41940 byla opravena 28. dubna 2026. Jakákoli instalace cPanel nebo WHM (verze po 11.40), která není aktualizována, je triviálně zneužitelná neautentizovanými vzdálenými útočníky. Toto je nejdůležitější krok.
Auditujte všechny GitHub Actions workflow: Zkontrolujte každý workflow YAML soubor ve vašich repozitářích, zejména ty, které:
Stahují a spouštějí externí binární soubory.
Vytvářejí odchozí síťová spojení.
Spouštějí se na push nebo workflow_dispatch triggerech bez manuálního přezkoumání.
Jsou přítomny ve vývojových nebo feature větvích, které mohou být automaticky synchronizovány správcem balíčků.
Obměňte všechny odhalené přihlašovací údaje: Předpokládejte, že jakýkoli přihlašovací údaj přítomný na kompromitovaném cPanel/WHM serveru byl odcizen. To zahrnuje, ale není omezeno na:
Klíče cloudových providerů (AWS, GCP, Azure).
API tokeny (OpenAI, Google, Stripe).
SSH klíče a databázová hesla.
Tokeny pro správu zdrojového kódu (GitHub, GitLab).
Zkontrolujte známé indikátory kompromitace (IOC): Prohledejte své logy na síťová spojení s útočnickou C2 IP adresou (43[.]228[.]157[.]68) a známou DNSHook callback doménou .
Zabezpečte repozitáře a správu balíčků:
Povolte ochranu větví na všech vývojových větvích.
Vyžadujte podepsané commity.
Vyhněte se automatické synchronizaci balíčkových rejstříků (jako je Packagist) přímo z větví repozitáře bez kroku kontroly .
Zkontrolujte Packagist vývojové verze: Při auditu závislostí konkrétně zkoumejte vývojové verze (dev-master, dev-main) na neočekávané .github/workflows/ soubory, protože PHP kód samotný může být čistý, zatímco útok žije výhradně v CI/CD konfiguraci .
