Masivní útok na dodavatelský řetězec: 583 škodlivých GitHub Actions Workflows zneužilo zero-day v cPanel (CVE-2026-41940)

583 škodlivých workflow souborů

Jádro útoku nebylo v samotném PHP kódu – PHP knihovny zůstaly neškodné, bez jakýchkoli instalačních hooků nebo škodlivé síťové aktivity . Místo toho útočníci vložili 583 škodlivých GitHub Actions workflow souborů (.github/workflows/*.yml) do zdrojových repozitářů vývojáře. Každý postižený balíček obsahoval 55 až 62 těchto workflow souborů . GitHub Actions workflow jsou YAML soubory, které definují automatizované úkoly, jako je spouštění testů nebo nasazování kódu. Útočníci tuto legitimní automatizační infrastrukturu zneužili.

Škodlivý mechanismus

Jakmile fork nebo kopie kompromitovaného repozitáře spustila workflow (např. při události push), škodlivý .yml soubor instruoval GitHub-hostovaný Ubuntu runner, aby :

1. Zjistil architekturu CPU runneru.
2. Stáhl si skenovací a explotační payload z command-and-control (C2) serveru na IP adrese 43[.]228[.]157[.]68.
3. Skenoval internet pro systémy běžící se službami cPanel a WHM.
4. Automaticky zneužil identifikované systémy pomocí níže popsané zranitelnosti.
5. Odeslal odcizená data zpět na C2 server.

Tím se každé spuštěné workflow proměnilo ve skenovací a explotační uzel, který využíval bezplatnou infrastrukturu GitHubu jako distribuovanou platformu pro útok .

Zranitelnost: CVE-2026-41940

Cílem kampaně byla CVE-2026-41940, kritická zranitelnost v cPanel a WebHost Manager (WHM) .

• Typ: Obcházení autentizace před autentizací .
• Závažnost: CVSS 9.8 (kritická) .
• Hlavní příčina: CRLF (Carriage Return Line Feed) injekce v cpsrvd obsluze základní autentizace . Neautentizovaný útočník mohl odeslat upravenou Authorization hlavičku obsahující znaky nového řádku. To mu umožnilo vložit libovolné vlastnosti do session souboru, například user=root a hasroot=1, čímž získal root přístup k WHM rozhraní bez platného hesla .
• Datum záplaty: cPanel vydal bezpečnostní aktualizaci 28. dubna 2026 . To znamená, že útočníci měli k dispozici funkční záplatu, kterou mohli několik měsíců před začátkem kampaně analyzovat.

Co bylo odcizeno

Jakmile exploit na kompromitovaném cPanel/WHM serveru uspěl, post-exploitační payload byl navržen k hromadnému sběru široké škály přihlašovacích údajů a tajemství. Mezi primární cíle patřily :

• Cloudové přihlašovací údaje: Amazon Web Services (AWS) klíče.
• Tokeny pro správu zdrojového kódu: GitHub tokeny, GitLab tokeny.
• API klíče: OpenAI, Google API klíče.
• Platební brány: Stripe klíče.
• Přihlašovací údaje k e-mailovým službám: (např. Mailgun, SendGrid).
• Infrastruktura: SSH privátní klíče, databázová hesla.
• Konfigurační data: Git remote konfigurace.

Krádež tak široké škály přihlašovacích údajů naznačuje oportunistický sběr všech cenných přístupových tokenů, které byly na kompromitovaném serveru k dispozici .

Rozsah kampaně: Tisíce dalších kompromitovaných repozitářů

583 workflow souborů v 10 Packagist balíčcích byl jen prvotní objev. Pivotováním na indikátory útočníků, jako je sdílená DNSHook callback doména a vzory opakovaného použití kódu, výzkumníci odhalili mnohem větší operaci :

• ~6 100 workflow souborů bylo přímo spojeno se stejnou počáteční útočnickou infrastrukturou .
• ~15 000 až 16 000 workflow souborů na GitHubu odpovídalo souvisejícím vzorům z kampaně .

Tento masivní nepoměr silně naznačuje, že útočníci kompromitovali mnoho dalších vývojářských účtů a repozitářů nad rámec jediného dinushchathurya účtu . Kampaň nebyla selháním jediného bodu, ale koordinovanou operací zahrnující více účtů. The Hacker News informoval o samostatném, dřívějším útoku na dodavatelský řetězec Packagistu v květnu 2026, který kompromitoval 8 balíčků s příbuznými škodlivými elementy , což dále zdůrazňuje zranitelnost ekosystému.

Přetrvávající riziko: Proč je kampaň pravděpodobně stále aktivní

Kampaň představuje trvalou hrozbu, protože útočnická infrastruktura není zcela neutralizována. Kampaň může pokračovat prostřednictvím :

• Forků a zrcadel: Škodlivé workflow soubory mohou přetrvávat v forknutých nebo zrcadlených kopiích kompromitovaných repozitářů.
• Cache snímků: Vlastní cache GitHubu mohou obsahovat škodlivé verze workflow.
• Odcizených přihlašovacích údajů: Již exfiltrované přihlašovací údaje zůstávají v držení útočníků a mohou být použity pro laterální pohyb nebo budoucí útoky.
• Přežívající C2 infrastruktury: C2 server (43[.]228[.]157[.]68) může být stále funkční a aktivně přijímat data .

Zatímco původní vývojářův Packagist účet byl pozastaven, obrovský rozsah odpovídajících workflow souborů (až ~16 000) znamená, že operace má široký záběr, který je obtížné zcela vymýtit .

Požadovaná obranná opatření

Na základě publikované analýzy by organizace a vývojáři měli okamžitě provést následující kroky :

1. Okamžitě aktualizujte cPanel/WHM: CVE-2026-41940 byla opravena 28. dubna 2026. Jakákoli instalace cPanel nebo WHM (verze po 11.40), která není aktualizována, je triviálně zneužitelná neautentizovanými vzdálenými útočníky. Toto je nejdůležitější krok.
2. Auditujte všechny GitHub Actions workflow: Zkontrolujte každý workflow YAML soubor ve vašich repozitářích, zejména ty, které:
   • Stahují a spouštějí externí binární soubory.
   • Vytvářejí odchozí síťová spojení.
   • Spouštějí se na push nebo workflow_dispatch triggerech bez manuálního přezkoumání.
   • Jsou přítomny ve vývojových nebo feature větvích, které mohou být automaticky synchronizovány správcem balíčků.
3. Obměňte všechny odhalené přihlašovací údaje: Předpokládejte, že jakýkoli přihlašovací údaj přítomný na kompromitovaném cPanel/WHM serveru byl odcizen. To zahrnuje, ale není omezeno na:
   • Klíče cloudových providerů (AWS, GCP, Azure).
   • API tokeny (OpenAI, Google, Stripe).
   • SSH klíče a databázová hesla.
   • Tokeny pro správu zdrojového kódu (GitHub, GitLab).
4. Zkontrolujte známé indikátory kompromitace (IOC): Prohledejte své logy na síťová spojení s útočnickou C2 IP adresou (43[.]228[.]157[.]68) a známou DNSHook callback doménou .
5. Zabezpečte repozitáře a správu balíčků:
   • Povolte ochranu větví na všech vývojových větvích.
   • Vyžadujte podepsané commity.
   • Vyhněte se automatické synchronizaci balíčkových rejstříků (jako je Packagist) přímo z větví repozitáře bez kroku kontroly .
6. Zkontrolujte Packagist vývojové verze: Při auditu závislostí konkrétně zkoumejte vývojové verze (dev-master, dev-main) na neočekávané .github/workflows/ soubory, protože PHP kód samotný může být čistý, zatímco útok žije výhradně v CI/CD konfiguraci .