A finales de julio de 2026, investigadores de seguridad revelaron una campaña de abuso de la cadena de suministro y CI/CD de una magnitud sin precedentes. Los atacantes comprometieron la cuenta de un desarrollador de PHP en Packagist, el principal registro de paquetes de PHP, y la utilizaron para inyectar cientos de archivos de workflow maliciosos de GitHub Actions en repositorios de código abierto. El objetivo no era infectar el código PHP, sino convertir los runners de CI/CD gratuitos de GitHub en una botnet distribuida y desechable para explotar una vulnerabilidad crítica en cPanel y WHM, el panel de control de hosting web más utilizado del mundo ![]()
![]()
.
Aquí tienes un desglose de la campaña, la vulnerabilidad que explotó, lo que se robó, la escala real de la operación y las defensas que debes implementar ahora.
La campaña: convertir los runners de GitHub en una botnet
Vector de entrada: una cuenta de Packagist comprometida
El ataque comenzó con el compromiso de la cuenta de Packagist del desarrollador legítimo de PHP y DevOps, dinushchathurya, entre el 12 y el 13 de julio de 2026 ![]()
. Packagist está diseñado para sincronizar automáticamente las versiones de los paquetes desde sus repositorios fuente. Los atacantes weaponizaron esta función: publicaron versiones de desarrollo "dev-main" maliciosas de todos los diez paquetes asociados con la cuenta del desarrollador, que Packagist incorporó y puso a disposición ![]()
![]()
. Los diez paquetes eran bibliotecas PHP legítimas, pero el ataque no se dirigía a sus usuarios a través del código PHP.
583 archivos de workflow maliciosos
El núcleo del ataque no estaba en el código PHP; las bibliotecas PHP permanecían benignas, sin hooks de instalación ni actividad de red maliciosa ![]()
. En su lugar, los atacantes inyectaron 583 archivos de workflow maliciosos de GitHub Actions (.github/workflows/*.yml) en los repositorios fuente del desarrollador. Cada versión de paquete afectada contenía entre 55 y 62 de estos archivos de workflow ![]()
. Los workflows de GitHub Actions son archivos YAML que definen tareas automatizadas, como ejecutar pruebas o desplegar código. Los atacantes reutilizaron esta infraestructura de automatización legítima.
El mecanismo malicioso
Una vez que una bifurcación o copia del repositorio comprometido activaba un workflow (por ejemplo, en un evento push), el archivo .yml malicioso indicaba al runner de Ubuntu alojado en GitHub que ![]()
:
- Detectara la arquitectura de CPU del runner.
- Descargara un payload de escaneo y explotación desde un servidor de comando y control (C2) en la dirección IP
43[.]228[.]157[.]68.
- Escaneara internet en busca de sistemas que ejecutaran servicios cPanel y WHM.
- Explotara automáticamente los sistemas identificados utilizando la vulnerabilidad que se detalla a continuación.
- Exfiltrara los datos robados de vuelta al servidor C2.
Esto convertía efectivamente cada workflow activado en un nodo de escaneo y explotación, utilizando la infraestructura gratuita de GitHub como plataforma distribuida para el ataque ![]()
![]()
.
La vulnerabilidad: CVE-2026-41940
El objetivo de la campaña era CVE-2026-41940, una vulnerabilidad crítica en cPanel y WebHost Manager (WHM) ![]()
![]()
.
- Tipo: Bypass de autenticación pre-autenticación
![]()
![]()
.
- Gravedad: CVSS 9.8 (Crítico)
![]()
![]()
.
- Causa raíz: Una vulnerabilidad de inyección CRLF (Retorno de Carro y Avance de Línea) en el manejador de autenticación básica
cpsrvd ![]()
![]()
. Un atacante no autenticado podía enviar una cabecera Authorization manipulada que contenía caracteres de nueva línea en crudo. Esto les permitía inyectar propiedades arbitrarias en un archivo de sesión, como user=root y , otorgándoles efectivamente acceso administrativo de nivel root a la interfaz de WHM sin una contraseña válida .
Lo que se robó
Una vez que el exploit tenía éxito en un servidor cPanel/WHM comprometido, el payload de post-explotación estaba diseñado para cosechar una amplia gama de credenciales y secretos. Los objetivos principales incluían ![]()
![]()
:
- Credenciales en la nube: Claves de Amazon Web Services (AWS).
- Tokens de control de versiones: Tokens de GitHub, tokens de GitLab.
- Claves de API: Claves de OpenAI, Google API.
- Procesamiento de pagos: Claves de Stripe.
- Credenciales de servicios de correo electrónico: (por ejemplo, Mailgun, SendGrid).
- Infraestructura: Claves privadas SSH, credenciales de bases de datos.
- Datos de configuración: Configuraciones remotas de Git.
El robo de una gama tan amplia de credenciales indica una captura oportunista y agnóstica de datos, buscando cualquier token de acceso valioso presente en el servidor comprometido ![]()
.
Escala de la campaña: miles de repositorios más comprometidos
Los 583 archivos de workflow en los 10 paquetes de Packagist fueron solo el descubrimiento inicial. Al pivotar sobre indicadores de los atacantes, como un dominio de callback DNSHook compartido y patrones de reutilización de código, los investigadores descubrieron una operación mucho más grande ![]()
![]()
:
- ~6.100 archivos de workflow estaban directamente vinculados a la misma infraestructura de atacante inicial
![]()
.
- ~15.000 a 16.000 archivos de workflow en GitHub coincidían con patrones relacionados de la campaña
![]()
![]()
![]()
.
Esta enorme discrepancia sugiere firmemente que los atacantes comprometieron muchas más cuentas de desarrolladores y repositorios más allá de la única cuenta de dinushchathurya ![]()
. La campaña no fue un fallo de un solo punto, sino una operación coordinada de múltiples cuentas. The Hacker News informó de un ataque separado y anterior a la cadena de suministro de Packagist en mayo de 2026 que comprometió 8 paquetes con elementos maliciosos relacionados ![]()
![]()
, lo que subraya aún más la vulnerabilidad del ecosistema.
Riesgo continuo: por qué la campaña probablemente sigue activa
La campaña plantea una amenaza persistente porque la infraestructura de los atacantes no está completamente neutralizada. La campaña puede continuar a través de ![]()
![]()
:
- Bifurcaciones y espejos: Los archivos de workflow maliciosos pueden persistir en copias bifurcadas o reflejadas de los repositorios comprometidos.
- Instantáneas en caché: Las propias cachés de GitHub pueden contener las versiones de workflow maliciosas.
- Credenciales robadas: Las credenciales ya exfiltradas permanecen en posesión del atacante y pueden utilizarse para movimiento lateral o ataques futuros.
- Infraestructura C2 superviviente: El servidor C2 (
43[.]228[.]157[.]68) puede seguir operativo y recibiendo datos activamente ![]()
.
Si bien la cuenta de Packagist del desarrollador original ha sido suspendida, la enorme escala de archivos de workflow coincidentes (hasta ~16.000) significa que la operación tiene una huella amplia que es difícil de erradicar por completo ![]()
.
Acciones defensivas requeridas
Según el análisis publicado, las organizaciones y los desarrolladores deben tomar las siguientes medidas de inmediato ![]()
![]()
![]()
![]()
:
- Parchear cPanel/WHM inmediatamente: CVE-2026-41940 fue parcheado el 28 de abril de 2026. Cualquier instalación de cPanel o WHM (versiones posteriores a la 11.40) que no esté actualizada es trivialmente explotable por atacantes remotos no autenticados. Este es el paso más importante.
- Auditar todos los workflows de GitHub Actions: Revisa cada archivo YAML de workflow en tus repositorios, especialmente aquellos que:
- Descarguen y ejecuten binarios externos.
- Realicen conexiones de red salientes.
- Se ejecuten en desencadenadores
push o workflow_dispatch sin revisión manual.
- Estén presentes en ramas de desarrollo o características que puedan ser sincronizadas automáticamente por un gestor de paquetes.
- Rotar todas las credenciales expuestas: Asume que cualquier credencial presente en un servidor cPanel/WHM comprometido ha sido robada. Esto incluye, pero no se limita a:
- Claves de proveedores de nube (AWS, GCP, Azure).
- Tokens de API (OpenAI, Google, Stripe).
- Claves SSH y contraseñas de bases de datos.
- Tokens de gestión de código fuente (GitHub, GitLab).
- Verificar los Indicadores de Compromiso (IOCs) conocidos: Busca en tus registros conexiones de red a la dirección IP C2 del atacante (
43[.]228[.]157[.]68) y el dominio de callback DNSHook conocido ![]()
.
- Endurecer repositorios y gestión de paquetes:
- Habilita reglas de protección de ramas en todas las ramas de desarrollo.
- Exige commits firmados.
- Evita la sincronización automática de registros de paquetes (como Packagist) directamente desde las ramas del repositorio sin un paso de revisión
![]()
.
