Kæmpe supply chain-angreb: 583 ondsindede GitHub Actions-workflows udnytter cPanel-zero-day (CVE-2026-41940)

I slutningen af juli 2026 afslørede sikkerhedsforskere en hidtil uset software supply chain- og CI/CD-misbrugskampagne. Angribere kompromitterede en PHP-udviklers konto på Packagist, det primære PHP-pakke-register, og brugte den til at injicere hundredvis af ondsindede GitHub Actions-workflow-filer i open source-repositories. Målet var ikke at inficere PHP-kode, men derimod at omdanne Googles gratis CI/CD-runnere til et distribueret, engangs-botnet til at udnytte en kritisk sårbarhed i cPanel og WHM, den udbredte webhosting-kontrolpanel-software .

Her er en gennemgang af kampagnen, den udnyttede sårbarhed, hvad der blev stjålet, kampagnens sande omfang og de forsvarstiltag, du skal implementere nu.

Kampagnen: Omdannelse af GitHub-runnere til et botnet

Indgangsvektor: En kompromitteret Packagist-konto

Angrebet begyndte med kompromitteringen af Packagist-kontoen tilhørende en legitim PHP- og DevOps-udvikler, dinushchathurya, i perioden mellem 12. og 13. juli 2026 . Packagist er designet til automatisk at synkronisere pakkeversioner fra deres kilde-repositories. Denne funktion blev misbrugt: angriberne push'ede ondsindede "dev-main"-udviklingsversioner af alle ti pakker tilknyttet udviklerens konto, hvilket Packagist derefter indlæste og gjorde tilgængelige . De ti pakker var legitime PHP-biblioteker, men angrebet havde ikke PHP-kode som mål .

583 ondsindede workflow-filer

Kernen i angrebet lå ikke i PHP-koden; PHP-bibliotekerne forblev ufarlige uden nogen install-hooks eller ondsindet netværksaktivitet . I stedet injicerede angriberne 583 ondsindede GitHub Actions-workflow-filer (.github/workflows/*.yml) i udviklerens kilde-repositories. Hver berørt pakkeversion indeholdt mellem 55 og 62 af disse workflow-filer . GitHub Actions-workflows er YAML-filer, der definerer automatiserede opgaver, såsom at køre tests eller implementere kode. Angriberne misbrugte denne legitime automatiseringsinfrastruktur.

Den ondsindede mekanisme

Når en fork eller kopi af det kompromitterede repository udløste en workflow (f.eks. ved en push-hændelse), instruerede den ondsindede .yml-fil GitHub-hostens Ubuntu-runner til at :

1. Registrere runnerens CPU-arkitektur.
2. Downloade en scannings- og udnyttelsespayload fra en command-and-control (C2)-server på IP-adressen 43[.]228[.]157[.]68.
3. Scanning af internettet for systemer, der kører cPanel- og WHM-tjenester.
4. Automatisk udnyttelse af de identificerede systemer ved hjælp af sårbarheden beskrevet nedenfor.
5. Eksfiltrering af stjålne data tilbage til C2-serveren.

Dette omdannede effektivt hver udløst workflow til en scannings- og udnyttelsesnode, der brugte Googles gratis infrastruktur som en distribueret platform for angrebet .

Sårbarheden: CVE-2026-41940

Målet for kampagnen var CVE-2026-41940, en kritisk sårbarhed i cPanel og WebHost Manager (WHM) .

• Type: Pre-authentication authentication bypass .
• Alvorlighed: CVSS 9,8 (Kritisk) .
• Grundårsag: En CRLF (Carriage Return Line Feed)-injektionssårbarhed i cpsrvd basic authentication handler . En uautentificeret angriber kunne sende en konstrueret Authorization-header, der indeholdt rå newline-tegn. Dette gjorde det muligt for dem at injicere vilkårlige egenskaber i en sessionsfil, såsom user=root og hasroot=1, hvilket effektivt gav dem root-niveau administrationsadgang til WHM-grænsefladen uden en gyldig adgangskode .
• Patch-dato: cPanel udgav en sikkerhedsopdatering 28. april 2026 . Det betyder, at angriberne havde en fungerende patch at analysere i flere måneder, før denne kampagne startede.

Hvad blev stjålet

Når udnyttelsen lykkedes på en kompromitteret cPanel/WHM-server, var post-exploitation-payloadet designet til at indsamle en bred vifte af legitimationsoplysninger og hemmeligheder. De primære mål inkluderede :

• Cloud-legitimationsoplysninger: Amazon Web Services (AWS)-nøgler.
• Source Control-tokens: GitHub-tokens, GitLab-tokens.
• API-nøgler: OpenAI, Google API-nøgler.
• Betalingsbehandling: Stripe-nøgler.
• E-mail-tjeneste-legitimationsoplysninger: (f.eks. Mailgun, SendGrid).
• Infrastruktur: SSH-private nøgler, database-legitimationsoplysninger.
• Konfigurationsdata: Git-remote-konfigurationer.

Tyveriet af sådan en bred vifte af legitimationsoplysninger indikerer et data-agnostisk, opportunistisk forsøg på at få fat i værdifulde adgangstokens på den kompromitterede server .

Kampagnens omfang: Tusindvis af flere repositories kompromitteret

De 583 workflow-filer i de 10 Packagist-pakker var kun den indledende opdagelse. Ved at undersøge angrebsindikatorer som et delt DNSHook callback-domæne og kode-genbrugsmønstre afslørede forskere en meget større operation :

• ~6.100 workflow-filer var direkte forbundet til den samme indledende angrebsinfrastruktur .
• ~15.000 til 16.000 workflow-filer på GitHub matchede relaterede mønstre fra kampagnen .

Denne massive forskel tyder stærkt på, at angriberne kompromitterede mange flere udviklerkonti og repositories ud over den enkelte dinushchathurya-konto . Kampagnen var ikke et enkeltpunktssvigt, men en koordineret, multi-konto operation. The Hacker News rapporterede om et separat, tidligere Packagist-supply chain-angreb i maj 2026, der kompromitterede 8 pakker med relaterede ondsindede elementer , hvilket yderligere understreger økosystemets sårbarhed.

Igangværende risiko: Derfor er kampagnen sandsynligvis stadig aktiv

Kampagnen udgør en vedvarende trussel, fordi angribernes infrastruktur ikke er fuldstændig neutraliseret. Kampagnen kan fortsætte gennem :

• Forks og spejlinger: Ondsindede workflow-filer kan fortsat findes i forkede eller spejlede kopier af de kompromitterede repositories.
• Cachelagrede snapshots: Googles egne caches kan indeholde de ondsindede workflow-versioner.
• Stjålne legitimationsoplysninger: De allerede eksfiltrerede legitimationsoplysninger forbliver i angriberens besiddelse og kan bruges til lateral bevægelse eller fremtidige angreb.
• Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) er muligvis stadig operationel og modtager aktivt data .

Selvom den oprindelige udviklers Packagist-konto er blevet suspenderet, betyder det enorme antal matchende workflow-filer (op til ~16.000), at operationen har et bredt fodaftryk, der er svært at udrydde fuldstændigt .

Nødvendige defensive handlinger

Baseret på den offentliggjorte analyse bør organisationer og udviklere straks tage følgende skridt :

1. Patch cPanel/WHM omgående: CVE-2026-41940 blev patchet den 28. april 2026. Enhver cPanel- eller WHM-installation (versioner efter 11.40), der ikke er opdateret, er trivielt udnyttelig af uautentificerede fjernangribere. Dette er det vigtigste enkelte skridt.
2. Revidér alle GitHub Actions-workflows: Gennemgå alle workflow YAML-filer i dine repositories, især dem, der:
   • Downloader og udfører eksterne binære filer.
   • Foretager udgående netværksforbindelser.
   • Kører ved push- eller workflow_dispatch-udløsere uden manuel gennemgang.
   • Findes i udviklings- eller feature-grene, der automatisk kan synkroniseres af en pakkehåndtering.
3. Roter alle eksponerede legitimationsoplysninger: Antag, at enhver legitimationsoplysning, der var til stede på en kompromitteret cPanel/WHM-server, er blevet stjålet. Dette inkluderer, men er ikke begrænset til:
   • Cloud-udbyder-nøgler (AWS, GCP, Azure).
   • API-tokens (OpenAI, Google, Stripe).
   • SSH-nøgler og databaseadgangskoder.
   • Source-code management-tokens (GitHub, GitLab).
4. Tjek for kendte indikatorer på kompromittering (IOC'er): Søg i dine logfiler efter netværksforbindelser til angriberens C2-IP (43[.]228[.]157[.]68) og det kendte DNSHook callback-domæne .
5. Styrk repositories og pakkehåndtering:
   • Aktivér branch protection-regler på alle udviklingsgrene.
   • Kræv signerede commits.
   • Undgå automatisk synkronisering af pakke-registre (som Packagist) direkte fra repository-grene uden et gennemgangstrin .
6. Revidér Packagist-udviklingsversioner: Når du reviderer afhængigheder, skal du specifikt undersøge udviklingsversioner (dev-master, dev-main) for uventede .github/workflows/-filer, da PHP-koden i sig selv kan være ren, mens angrebet udelukkende lever i CI/CD-konfigurationen .