Et massivt supply chain angreb, afsløret 22. 23. Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
Målet var at stjæle en bred vifte af legitimationsoplysninger, herunder AWS nøgler, GitHub og GitLab tokens, OpenAI og Google API nøgler, Stripe nøgler, SSH nøgler og databaselegitimationsoplysninger.
Forskere fandt spor, der tyder på, at kampagnen er langt større end først antaget, med 6.100 til 16.000 workflow filer på GitHub, der matcher angrebets mønstre.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutningen af juli 2026 afslørede sikkerhedsforskere en hidtil uset software supply chain- og CI/CD-misbrugskampagne. Angribere kompromitterede en PHP-udviklers konto på Packagist, det primære PHP-pakke-register, og brugte den til at injicere hundredvis af ondsindede GitHub Actions-workflow-filer i open source-repositories. Målet var ikke at inficere PHP-kode, men derimod at omdanne Googles gratis CI/CD-runnere til et distribueret, engangs-botnet til at udnytte en kritisk sårbarhed i cPanel og WHM, den udbredte webhosting-kontrolpanel-software .
Her er en gennemgang af kampagnen, den udnyttede sårbarhed, hvad der blev stjålet, kampagnens sande omfang og de forsvarstiltag, du skal implementere nu.
Kampagnen: Omdannelse af GitHub-runnere til et botnet
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Kæmpe supply chain-angreb: 583 ondsindede GitHub Actions-workflows udnytter cPanel-zero-day (CVE-2026-41940)"?
Et massivt supply chain angreb, afsløret 22. 23.
What are the key points to validate first?
Et massivt supply chain angreb, afsløret 22. 23. Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
What should I do next in practice?
Målet var at stjæle en bred vifte af legitimationsoplysninger, herunder AWS nøgler, GitHub og GitLab tokens, OpenAI og Google API nøgler, Stripe nøgler, SSH nøgler og databaselegitimationsoplysninger.
Et massivt supply chain angreb, afsløret 22. 23. Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
Målet var at stjæle en bred vifte af legitimationsoplysninger, herunder AWS nøgler, GitHub og GitLab tokens, OpenAI og Google API nøgler, Stripe nøgler, SSH nøgler og databaselegitimationsoplysninger.
Forskere fandt spor, der tyder på, at kampagnen er langt større end først antaget, med 6.100 til 16.000 workflow filer på GitHub, der matcher angrebets mønstre.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutningen af juli 2026 afslørede sikkerhedsforskere en hidtil uset software supply chain- og CI/CD-misbrugskampagne. Angribere kompromitterede en PHP-udviklers konto på Packagist, det primære PHP-pakke-register, og brugte den til at injicere hundredvis af ondsindede GitHub Actions-workflow-filer i open source-repositories. Målet var ikke at inficere PHP-kode, men derimod at omdanne Googles gratis CI/CD-runnere til et distribueret, engangs-botnet til at udnytte en kritisk sårbarhed i cPanel og WHM, den udbredte webhosting-kontrolpanel-software .
Her er en gennemgang af kampagnen, den udnyttede sårbarhed, hvad der blev stjålet, kampagnens sande omfang og de forsvarstiltag, du skal implementere nu.
Kampagnen: Omdannelse af GitHub-runnere til et botnet
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Kæmpe supply chain-angreb: 583 ondsindede GitHub Actions-workflows udnytter cPanel-zero-day (CVE-2026-41940)"?
Et massivt supply chain angreb, afsløret 22. 23.
What are the key points to validate first?
Et massivt supply chain angreb, afsløret 22. 23. Angriberne misbrugte GitHub Actions runners som et distribueret botnet til at scanne internettet for sårbare cPanel/WHM servere og udnytte CVE 2026 41940, en pre authentication bypass med en CVSS score på 9,8.
What should I do next in practice?
Målet var at stjæle en bred vifte af legitimationsoplysninger, herunder AWS nøgler, GitHub og GitLab tokens, OpenAI og Google API nøgler, Stripe nøgler, SSH nøgler og databaselegitimationsoplysninger.
Angrebet begyndte med kompromitteringen af Packagist-kontoen tilhørende en legitim PHP- og DevOps-udvikler, dinushchathurya, i perioden mellem 12. og 13. juli 2026 . Packagist er designet til automatisk at synkronisere pakkeversioner fra deres kilde-repositories. Denne funktion blev misbrugt: angriberne push'ede ondsindede "dev-main"-udviklingsversioner af alle ti pakker tilknyttet udviklerens konto, hvilket Packagist derefter indlæste og gjorde tilgængelige . De ti pakker var legitime PHP-biblioteker, men angrebet havde ikke PHP-kode som mål .
583 ondsindede workflow-filer
Kernen i angrebet lå ikke i PHP-koden; PHP-bibliotekerne forblev ufarlige uden nogen install-hooks eller ondsindet netværksaktivitet . I stedet injicerede angriberne 583 ondsindede GitHub Actions-workflow-filer (.github/workflows/*.yml) i udviklerens kilde-repositories. Hver berørt pakkeversion indeholdt mellem 55 og 62 af disse workflow-filer . GitHub Actions-workflows er YAML-filer, der definerer automatiserede opgaver, såsom at køre tests eller implementere kode. Angriberne misbrugte denne legitime automatiseringsinfrastruktur.
Den ondsindede mekanisme
Når en fork eller kopi af det kompromitterede repository udløste en workflow (f.eks. ved en push-hændelse), instruerede den ondsindede .yml-fil GitHub-hostens Ubuntu-runner til at :
Registrere runnerens CPU-arkitektur.
Downloade en scannings- og udnyttelsespayload fra en command-and-control (C2)-server på IP-adressen 43[.]228[.]157[.]68.
Scanning af internettet for systemer, der kører cPanel- og WHM-tjenester.
Automatisk udnyttelse af de identificerede systemer ved hjælp af sårbarheden beskrevet nedenfor.
Eksfiltrering af stjålne data tilbage til C2-serveren.
Dette omdannede effektivt hver udløst workflow til en scannings- og udnyttelsesnode, der brugte Googles gratis infrastruktur som en distribueret platform for angrebet .
Sårbarheden: CVE-2026-41940
Målet for kampagnen var CVE-2026-41940, en kritisk sårbarhed i cPanel og WebHost Manager (WHM) .
Type: Pre-authentication authentication bypass .
Alvorlighed: CVSS 9,8 (Kritisk) .
Grundårsag: En CRLF (Carriage Return Line Feed)-injektionssårbarhed i cpsrvd basic authentication handler . En uautentificeret angriber kunne sende en konstrueret Authorization-header, der indeholdt rå newline-tegn. Dette gjorde det muligt for dem at injicere vilkårlige egenskaber i en sessionsfil, såsom user=root og hasroot=1, hvilket effektivt gav dem root-niveau administrationsadgang til WHM-grænsefladen uden en gyldig adgangskode .
Patch-dato: cPanel udgav en sikkerhedsopdatering 28. april 2026. Det betyder, at angriberne havde en fungerende patch at analysere i flere måneder, før denne kampagne startede.
Hvad blev stjålet
Når udnyttelsen lykkedes på en kompromitteret cPanel/WHM-server, var post-exploitation-payloadet designet til at indsamle en bred vifte af legitimationsoplysninger og hemmeligheder. De primære mål inkluderede :
Cloud-legitimationsoplysninger: Amazon Web Services (AWS)-nøgler.
Tyveriet af sådan en bred vifte af legitimationsoplysninger indikerer et data-agnostisk, opportunistisk forsøg på at få fat i værdifulde adgangstokens på den kompromitterede server .
Kampagnens omfang: Tusindvis af flere repositories kompromitteret
De 583 workflow-filer i de 10 Packagist-pakker var kun den indledende opdagelse. Ved at undersøge angrebsindikatorer som et delt DNSHook callback-domæne og kode-genbrugsmønstre afslørede forskere en meget større operation :
~6.100 workflow-filer var direkte forbundet til den samme indledende angrebsinfrastruktur .
~15.000 til 16.000 workflow-filer på GitHub matchede relaterede mønstre fra kampagnen .
Denne massive forskel tyder stærkt på, at angriberne kompromitterede mange flere udviklerkonti og repositories ud over den enkelte dinushchathurya-konto . Kampagnen var ikke et enkeltpunktssvigt, men en koordineret, multi-konto operation. The Hacker News rapporterede om et separat, tidligere Packagist-supply chain-angreb i maj 2026, der kompromitterede 8 pakker med relaterede ondsindede elementer , hvilket yderligere understreger økosystemets sårbarhed.
Igangværende risiko: Derfor er kampagnen sandsynligvis stadig aktiv
Kampagnen udgør en vedvarende trussel, fordi angribernes infrastruktur ikke er fuldstændig neutraliseret. Kampagnen kan fortsætte gennem :
Forks og spejlinger: Ondsindede workflow-filer kan fortsat findes i forkede eller spejlede kopier af de kompromitterede repositories.
Cachelagrede snapshots: Googles egne caches kan indeholde de ondsindede workflow-versioner.
Stjålne legitimationsoplysninger: De allerede eksfiltrerede legitimationsoplysninger forbliver i angriberens besiddelse og kan bruges til lateral bevægelse eller fremtidige angreb.
Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) er muligvis stadig operationel og modtager aktivt data .
Selvom den oprindelige udviklers Packagist-konto er blevet suspenderet, betyder det enorme antal matchende workflow-filer (op til ~16.000), at operationen har et bredt fodaftryk, der er svært at udrydde fuldstændigt .
Nødvendige defensive handlinger
Baseret på den offentliggjorte analyse bør organisationer og udviklere straks tage følgende skridt :
Patch cPanel/WHM omgående: CVE-2026-41940 blev patchet den 28. april 2026. Enhver cPanel- eller WHM-installation (versioner efter 11.40), der ikke er opdateret, er trivielt udnyttelig af uautentificerede fjernangribere. Dette er det vigtigste enkelte skridt.
Revidér alle GitHub Actions-workflows: Gennemgå alle workflow YAML-filer i dine repositories, især dem, der:
Downloader og udfører eksterne binære filer.
Foretager udgående netværksforbindelser.
Kører ved push- eller workflow_dispatch-udløsere uden manuel gennemgang.
Findes i udviklings- eller feature-grene, der automatisk kan synkroniseres af en pakkehåndtering.
Roter alle eksponerede legitimationsoplysninger: Antag, at enhver legitimationsoplysning, der var til stede på en kompromitteret cPanel/WHM-server, er blevet stjålet. Dette inkluderer, men er ikke begrænset til:
Cloud-udbyder-nøgler (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nøgler og databaseadgangskoder.
Source-code management-tokens (GitHub, GitLab).
Tjek for kendte indikatorer på kompromittering (IOC'er): Søg i dine logfiler efter netværksforbindelser til angriberens C2-IP (43[.]228[.]157[.]68) og det kendte DNSHook callback-domæne .
Styrk repositories og pakkehåndtering:
Aktivér branch protection-regler på alle udviklingsgrene.
Kræv signerede commits.
Undgå automatisk synkronisering af pakke-registre (som Packagist) direkte fra repository-grene uden et gennemgangstrin .
Revidér Packagist-udviklingsversioner: Når du reviderer afhængigheder, skal du specifikt undersøge udviklingsversioner (dev-master, dev-main) for uventede .github/workflows/-filer, da PHP-koden i sig selv kan være ren, mens angrebet udelukkende lever i CI/CD-konfigurationen .
Angrebet begyndte med kompromitteringen af Packagist-kontoen tilhørende en legitim PHP- og DevOps-udvikler, dinushchathurya, i perioden mellem 12. og 13. juli 2026 . Packagist er designet til automatisk at synkronisere pakkeversioner fra deres kilde-repositories. Denne funktion blev misbrugt: angriberne push'ede ondsindede "dev-main"-udviklingsversioner af alle ti pakker tilknyttet udviklerens konto, hvilket Packagist derefter indlæste og gjorde tilgængelige . De ti pakker var legitime PHP-biblioteker, men angrebet havde ikke PHP-kode som mål .
583 ondsindede workflow-filer
Kernen i angrebet lå ikke i PHP-koden; PHP-bibliotekerne forblev ufarlige uden nogen install-hooks eller ondsindet netværksaktivitet . I stedet injicerede angriberne 583 ondsindede GitHub Actions-workflow-filer (.github/workflows/*.yml) i udviklerens kilde-repositories. Hver berørt pakkeversion indeholdt mellem 55 og 62 af disse workflow-filer . GitHub Actions-workflows er YAML-filer, der definerer automatiserede opgaver, såsom at køre tests eller implementere kode. Angriberne misbrugte denne legitime automatiseringsinfrastruktur.
Den ondsindede mekanisme
Når en fork eller kopi af det kompromitterede repository udløste en workflow (f.eks. ved en push-hændelse), instruerede den ondsindede .yml-fil GitHub-hostens Ubuntu-runner til at :
Registrere runnerens CPU-arkitektur.
Downloade en scannings- og udnyttelsespayload fra en command-and-control (C2)-server på IP-adressen 43[.]228[.]157[.]68.
Scanning af internettet for systemer, der kører cPanel- og WHM-tjenester.
Automatisk udnyttelse af de identificerede systemer ved hjælp af sårbarheden beskrevet nedenfor.
Eksfiltrering af stjålne data tilbage til C2-serveren.
Dette omdannede effektivt hver udløst workflow til en scannings- og udnyttelsesnode, der brugte Googles gratis infrastruktur som en distribueret platform for angrebet .
Sårbarheden: CVE-2026-41940
Målet for kampagnen var CVE-2026-41940, en kritisk sårbarhed i cPanel og WebHost Manager (WHM) .
Type: Pre-authentication authentication bypass .
Alvorlighed: CVSS 9,8 (Kritisk) .
Grundårsag: En CRLF (Carriage Return Line Feed)-injektionssårbarhed i cpsrvd basic authentication handler . En uautentificeret angriber kunne sende en konstrueret Authorization-header, der indeholdt rå newline-tegn. Dette gjorde det muligt for dem at injicere vilkårlige egenskaber i en sessionsfil, såsom user=root og hasroot=1, hvilket effektivt gav dem root-niveau administrationsadgang til WHM-grænsefladen uden en gyldig adgangskode .
Patch-dato: cPanel udgav en sikkerhedsopdatering 28. april 2026. Det betyder, at angriberne havde en fungerende patch at analysere i flere måneder, før denne kampagne startede.
Hvad blev stjålet
Når udnyttelsen lykkedes på en kompromitteret cPanel/WHM-server, var post-exploitation-payloadet designet til at indsamle en bred vifte af legitimationsoplysninger og hemmeligheder. De primære mål inkluderede :
Cloud-legitimationsoplysninger: Amazon Web Services (AWS)-nøgler.
Tyveriet af sådan en bred vifte af legitimationsoplysninger indikerer et data-agnostisk, opportunistisk forsøg på at få fat i værdifulde adgangstokens på den kompromitterede server .
Kampagnens omfang: Tusindvis af flere repositories kompromitteret
De 583 workflow-filer i de 10 Packagist-pakker var kun den indledende opdagelse. Ved at undersøge angrebsindikatorer som et delt DNSHook callback-domæne og kode-genbrugsmønstre afslørede forskere en meget større operation :
~6.100 workflow-filer var direkte forbundet til den samme indledende angrebsinfrastruktur .
~15.000 til 16.000 workflow-filer på GitHub matchede relaterede mønstre fra kampagnen .
Denne massive forskel tyder stærkt på, at angriberne kompromitterede mange flere udviklerkonti og repositories ud over den enkelte dinushchathurya-konto . Kampagnen var ikke et enkeltpunktssvigt, men en koordineret, multi-konto operation. The Hacker News rapporterede om et separat, tidligere Packagist-supply chain-angreb i maj 2026, der kompromitterede 8 pakker med relaterede ondsindede elementer , hvilket yderligere understreger økosystemets sårbarhed.
Igangværende risiko: Derfor er kampagnen sandsynligvis stadig aktiv
Kampagnen udgør en vedvarende trussel, fordi angribernes infrastruktur ikke er fuldstændig neutraliseret. Kampagnen kan fortsætte gennem :
Forks og spejlinger: Ondsindede workflow-filer kan fortsat findes i forkede eller spejlede kopier af de kompromitterede repositories.
Cachelagrede snapshots: Googles egne caches kan indeholde de ondsindede workflow-versioner.
Stjålne legitimationsoplysninger: De allerede eksfiltrerede legitimationsoplysninger forbliver i angriberens besiddelse og kan bruges til lateral bevægelse eller fremtidige angreb.
Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) er muligvis stadig operationel og modtager aktivt data .
Selvom den oprindelige udviklers Packagist-konto er blevet suspenderet, betyder det enorme antal matchende workflow-filer (op til ~16.000), at operationen har et bredt fodaftryk, der er svært at udrydde fuldstændigt .
Nødvendige defensive handlinger
Baseret på den offentliggjorte analyse bør organisationer og udviklere straks tage følgende skridt :
Patch cPanel/WHM omgående: CVE-2026-41940 blev patchet den 28. april 2026. Enhver cPanel- eller WHM-installation (versioner efter 11.40), der ikke er opdateret, er trivielt udnyttelig af uautentificerede fjernangribere. Dette er det vigtigste enkelte skridt.
Revidér alle GitHub Actions-workflows: Gennemgå alle workflow YAML-filer i dine repositories, især dem, der:
Downloader og udfører eksterne binære filer.
Foretager udgående netværksforbindelser.
Kører ved push- eller workflow_dispatch-udløsere uden manuel gennemgang.
Findes i udviklings- eller feature-grene, der automatisk kan synkroniseres af en pakkehåndtering.
Roter alle eksponerede legitimationsoplysninger: Antag, at enhver legitimationsoplysning, der var til stede på en kompromitteret cPanel/WHM-server, er blevet stjålet. Dette inkluderer, men er ikke begrænset til:
Cloud-udbyder-nøgler (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nøgler og databaseadgangskoder.
Source-code management-tokens (GitHub, GitLab).
Tjek for kendte indikatorer på kompromittering (IOC'er): Søg i dine logfiler efter netværksforbindelser til angriberens C2-IP (43[.]228[.]157[.]68) og det kendte DNSHook callback-domæne .
Styrk repositories og pakkehåndtering:
Aktivér branch protection-regler på alle udviklingsgrene.
Kræv signerede commits.
Undgå automatisk synkronisering af pakke-registre (som Packagist) direkte fra repository-grene uden et gennemgangstrin .
Revidér Packagist-udviklingsversioner: Når du reviderer afhængigheder, skal du specifikt undersøge udviklingsversioner (dev-master, dev-main) for uventede .github/workflows/-filer, da PHP-koden i sig selv kan være ren, mens angrebet udelukkende lever i CI/CD-konfigurationen .
