Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa...
Hyökkäys ei kohdistunut PHP koodiin vaan GitHub Actionsin avulla luotiin hajautettu skannaus ja hyväksikäyttöinfrastruktuuri, joka kohdistui cPanel ja WHM palvelimiin.
Kampanja hyödynsi kriittistä CVE 2026 41940 haavoittuvuutta (CVSS 9.8), joka mahdollistaa tunnistautumattoman pääsyn cPanelin ylläpitoliittymään.
Varastettuja tietoja: AWS avaimet, GitHub ja GitLab tunnukset, OpenAI ja Google API avaimet, Stripe avaimet, SSH avaimet ja tietokantatunnukset.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Heinäkuun lopussa 2026 tietoturvatutkijat paljastivat ennennäkemättömän laajan ohjelmistotoimitusketjun ja CI/CD-hyöksikäyttökampanjan. Hyökkääjät murtautuivat PHP-kehittäjän Packagist-tilille ja käyttivät sitä lisätäkseen satoja haitallisia GitHub Actions -työnkulkutiedostoja avoimen lähdekoodin repositorioihin. Tavoitteena ei ollut saastuttaa PHP-koodia, vaan muuttaa GitHubin ilmaiset CI/CD-ajurit hajautetuksi, kertakäyttöiseksi bottiverkoksi hyödyntämään kriittistä haavoittuvuutta cPanel- ja WHM-palvelimissa .
Tässä artikkelissa käymme läpi kampanjan, hyödynnetyn haavoittuvuuden, varastetut tiedot, kampanjan todellisen laajuuden ja tarvittavat suojatoimenpiteet.
Kampanja: GitHub-ajureista bottiverkoksi
Sisääntulotie: Vaarantunut Packagist-tili
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Valtava toimitusketjuhyökkäys käytti GitHub Actionsia cPanel-palvelinten murtamiseen – 583 haitallista työnkulkutiedostoa löydetty"?
Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa...
What are the key points to validate first?
Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa... Hyökkäys ei kohdistunut PHP koodiin vaan GitHub Actionsin avulla luotiin hajautettu skannaus ja hyväksikäyttöinfrastruktuuri, joka kohdistui cPanel ja WHM palvelimiin.
What should I do next in practice?
Kampanja hyödynsi kriittistä CVE 2026 41940 haavoittuvuutta (CVSS 9.8), joka mahdollistaa tunnistautumattoman pääsyn cPanelin ylläpitoliittymään.
Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa...
Hyökkäys ei kohdistunut PHP koodiin vaan GitHub Actionsin avulla luotiin hajautettu skannaus ja hyväksikäyttöinfrastruktuuri, joka kohdistui cPanel ja WHM palvelimiin.
Kampanja hyödynsi kriittistä CVE 2026 41940 haavoittuvuutta (CVSS 9.8), joka mahdollistaa tunnistautumattoman pääsyn cPanelin ylläpitoliittymään.
Varastettuja tietoja: AWS avaimet, GitHub ja GitLab tunnukset, OpenAI ja Google API avaimet, Stripe avaimet, SSH avaimet ja tietokantatunnukset.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Heinäkuun lopussa 2026 tietoturvatutkijat paljastivat ennennäkemättömän laajan ohjelmistotoimitusketjun ja CI/CD-hyöksikäyttökampanjan. Hyökkääjät murtautuivat PHP-kehittäjän Packagist-tilille ja käyttivät sitä lisätäkseen satoja haitallisia GitHub Actions -työnkulkutiedostoja avoimen lähdekoodin repositorioihin. Tavoitteena ei ollut saastuttaa PHP-koodia, vaan muuttaa GitHubin ilmaiset CI/CD-ajurit hajautetuksi, kertakäyttöiseksi bottiverkoksi hyödyntämään kriittistä haavoittuvuutta cPanel- ja WHM-palvelimissa .
Tässä artikkelissa käymme läpi kampanjan, hyödynnetyn haavoittuvuuden, varastetut tiedot, kampanjan todellisen laajuuden ja tarvittavat suojatoimenpiteet.
Kampanja: GitHub-ajureista bottiverkoksi
Sisääntulotie: Vaarantunut Packagist-tili
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Valtava toimitusketjuhyökkäys käytti GitHub Actionsia cPanel-palvelinten murtamiseen – 583 haitallista työnkulkutiedostoa löydetty"?
Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa...
What are the key points to validate first?
Heinäkuun 22.–23. päivänä 2026 paljastettiin mittava toimitusketjukampanja, jossa hyökkääjät murtautuivat PHP kehittäjä dinushchathuryan Packagist tilille ja lisäsivät 583 haitallista GitHub Actions työnkulkutiedostoa... Hyökkäys ei kohdistunut PHP koodiin vaan GitHub Actionsin avulla luotiin hajautettu skannaus ja hyväksikäyttöinfrastruktuuri, joka kohdistui cPanel ja WHM palvelimiin.
What should I do next in practice?
Kampanja hyödynsi kriittistä CVE 2026 41940 haavoittuvuutta (CVSS 9.8), joka mahdollistaa tunnistautumattoman pääsyn cPanelin ylläpitoliittymään.
Hyökkäys alkoi, kun hyökkääjät onnistuivat kaappaamaan legitiimin PHP- ja DevOps-kehittäjän dinushchathurya Packagist-tilin aikavälillä 12.–13. heinäkuuta 2026 . Packagist on suunniteltu synkronoimaan automaattisesti pakettiversiot niiden lähderepositorioista. Hyökkääjät käyttivät tätä ominaisuutta aseenaan: he lisäsivät haitallisia "dev-main"-kehitysversioita kaikkiin kymmeneen kehittäjän tiliin liittyvään pakettiin, ja Packagist otti ne vastaan . Kymmenen pakettia olivat legitiimejä PHP-kirjastoja, mutta hyökkäys ei kohdistunut niiden käyttäjiin PHP-koodin kautta.
583 haitallista työnkulkutiedostoa
Hyökkäyksen ydin ei ollut PHP-koodissa; PHP-kirjastot pysyivät vaarattomina . Sen sijaan hyökkääjät lisäsivät 583 haitallista GitHub Actions -työnkulkutiedostoa (.github/workflows/*.yml) kehittäjän lähderepositorioihin. Jokainen saastutettu pakettiversio sisälsi 55–62 tällaista tiedostoa . GitHub Actions -työnkulut ovat YAML-tiedostoja, jotka määrittelevät automaattisia tehtäviä. Hyökkääjät ohjasivat tätä legitiimiä automatisointi-infrastruktuuria omiin tarkoituksiinsa.
Haitallinen mekanismi
Kun forkkaus tai kopio vaarannetusta repositoriosta käynnisti työnkulun (esimerkiksi push-tapahtuman yhteydessä), haitallinen .yml-tiedosto ohjeisti GitHubin Ubuntu-ajuria :
Tunnistamaan ajurin suoritinarkkitehtuuri.
Lataamaan skannaus- ja hyväksikäyttökuorman C2-palvelimelta osoitteesta 43[.]228[.]157[.]68.
Skannaamaan internetiä cPanel- ja WHM-palvelimia löytääkseen.
Hyödyntämään automaattisesti löydettyjä järjestelmiä käyttäen alla kuvattua haavoittuvuutta.
Varastamaan tiedot takaisin C2-palvelimelle.
Tämä muutti jokaisen käynnistetyn työnkulun skannaus- ja hyväksikäyttösolmuksi, käyttäen GitHubin ilmaista infrastruktuuria hajautettuna hyökkäysalustana .
Haavoittuvuus: CVE-2026-41940
Kampanjan kohteena oli CVE-2026-41940, kriittinen haavoittuvuus cPanelissa ja WebHost Managerissa (WHM) .
Perussyy: CRLF (Carriage Return Line Feed) -injektio cpsrvd-palvelun perusautentikointikäsittelijässä . Tunnistautumaton hyökkääjä voi lähettää muokatun Authorization-otsikon, joka sisältää raakoja rivinvaihtomerkkejä. Tämä mahdollistaa mielivaltaisten ominaisuuksien injektoinnin istuntotiedostoon, kuten user=root ja hasroot=1, jolloin hyökkääjä saa pääkäyttäjän oikeudet WHM-liittymään ilman salasanaa .
Korjauspäivä: cPanel julkaisi tietoturvapäivityksen 28. huhtikuuta 2026. Hyökkääjillä on siis ollut useita kuukausia aikaa analysoida korjausta ennen kampanjan alkua.
Varastetut tiedot
Hyökkäyksen onnistuessa varastettiin laaja valikoima tunnuksia ja salaisuuksia. Ensisijaisia kohteita olivat :
Pilviympäristöjen tunnukset: Amazon Web Services (AWS) -avaimet.
Näin laaja tunnusten varastaminen viittaa tieto-agnostiseen, opportunistiseen yritykseen kerätä kaikki arvokkaat pääsytunnukset vaarannetusta palvelimesta .
Kampanjan laajuus: Tuhansia repositorioita vaarantuneena
583 työnkulkutiedostoa 10 Packagist-paketissa olivat vasta alkua. Tutkimalla hyökkääjien indikaattoreita, kuten jaettua DNSHook-paluuosoitetta ja koodin uudelleenkäyttömalleja, tutkijat paljastivat paljon laajemman operaation :
Noin 6 100 työnkulkutiedostoa oli suoraan yhteydessä samaan alkuperäiseen hyökkääjäinfrastruktuuriin .
Noin 15 000–16 000 työnkulkutiedostoa GitHubissa vastasi kampanjan malleja .
Tämä valtava ero viittaa vahvasti siihen, että hyökkääjät vaaransivat paljon enemmän kehittäjätilejä ja repositorioita kuin pelkän dinushchathurya-tilin . Kyse ei ollut yhden pisteen epäonnistumisesta, vaan koordinoidusta, useita tilejä käsittävästä operaatiosta. The Hacker News raportoi jo toukokuussa 2026 erillisestä Packagist-toimitusketjuhyökkäyksestä, jossa vaarantui 8 pakettia ja jossa oli samankaltaisia haitallisia elementtejä . Tämä korostaa ekosysteemin haavoittuvuutta.
Jatkuva uhka: Miksi kampanja on todennäköisesti edelleen aktiivinen
Kampanja on jatkuva uhka, koska hyökkääjän infrastruktuuria ei ole täysin neutraloitu. Kampanja saattaa jatkua :
Forkkien ja peilien kautta: Haitalliset työnkulkutiedostot saattavat olla tallennettuna forkattuihin tai peilattuihin kopioihin vaarannetuista repositorioista.
Välimuistit: GitHubin omat välimuistit saattavat sisältää haitalliset työnkuluversiot.
Varastetut tunnukset: Varastetut tunnukset ovat edelleen hyökkääjän hallussa ja niitä voidaan käyttää lateraaliseen liikkumiseen tai tuleviin hyökkäyksiin.
Toimiva C2-infrastruktuuri: C2-palvelin (43[.]228[.]157[.]68) saattaa olla edelleen toiminnassa ja vastaanottaa aktiivisesti tietoa .
Vaikka alkuperäisen kehittäjän Packagist-tili on jäädytetty, kampanjan laaja jalanjälki (jopa ~16 000 työnkulkutiedostoa) tarkoittaa, että sitä on vaikea hävittää kokonaan .
Tarvittavat suojatoimet
Julkaistun analyysin perusteella organisaatioiden ja kehittäjien tulisi toimia välittömästi seuraavasti :
Päivitä cPanel/WHM välittömästi: CVE-2026-41940 korjattiin 28. huhtikuuta 2026. Mikä tahansa cPanel- tai WHM-asennus (versiot 11.40 jälkeen), jota ei ole päivitetty, on triviaalisti hyväksikäytettävissä tunnistautumattoman etähyökkääjän toimesta. Tämä on tärkein yksittäinen toimenpide.
Tarkasta kaikki GitHub Actions -työnkulut: Tutki kaikki repositorioidesi työnkulkutiedostot, erityisesti ne, jotka:
Lataavat ja suorittavat ulkoisia binääritiedostoja.
Muodostavat ulospäin suuntautuvia verkkoyhteyksiä.
Käynnistyvät push- tai workflow_dispatch-tapahtumien yhteydessä ilman manuaalista tarkistusta.
Ovat kehitys- tai ominaisuushaaroissa, jotka paketinhallinta saattaa synkronoida automaattisesti.
Vaihda kaikki altistuneet tunnukset: Oleta, että jokainen vaarannetulla cPanel/WHM-palvelimella ollut tunnus on varastettu. Tämä koskee erityisesti:
Pilvipalveluiden avaimia (AWS, GCP, Azure).
API-tunnuksia (OpenAI, Google, Stripe).
SSH-avaimia ja tietokantasalasanoja.
Lähdekoodin hallinnan tunnuksia (GitHub, GitLab).
Tarkista tunnetut kompromissin indikaattorit (IOC:t): Etsi lokitiedoistasi verkkoyhteyksiä hyökkääjän C2-IP-osoitteeseen (43[.]228[.]157[.]68) ja tunnettuun DNSHook-paluuosoitteeseen .
Paranna repositorioiden ja paketinhallinnan turvallisuutta:
Ota käyttöön haarojen suojaussäännöt kaikille kehityshaaroille.
Vaadi allekirjoitetut sitoumukset.
Vältä pakettirekistereiden (kuten Packagist) automaattista synkronointia repositoriohaaroista ilman tarkistusvaihetta .
Tarkista Packagistin kehitysversiot: Kun tarkastat riippuvuuksia, tutki erityisesti kehitysversioita (dev-master, dev-main) odottamattomien .github/workflows/-tiedostojen varalta, sillä PHP-koodi saattaa olla puhdas, mutta hyökkäys piilee kokonaan CI/CD-asetuksissa .
Hyökkäys alkoi, kun hyökkääjät onnistuivat kaappaamaan legitiimin PHP- ja DevOps-kehittäjän dinushchathurya Packagist-tilin aikavälillä 12.–13. heinäkuuta 2026 . Packagist on suunniteltu synkronoimaan automaattisesti pakettiversiot niiden lähderepositorioista. Hyökkääjät käyttivät tätä ominaisuutta aseenaan: he lisäsivät haitallisia "dev-main"-kehitysversioita kaikkiin kymmeneen kehittäjän tiliin liittyvään pakettiin, ja Packagist otti ne vastaan . Kymmenen pakettia olivat legitiimejä PHP-kirjastoja, mutta hyökkäys ei kohdistunut niiden käyttäjiin PHP-koodin kautta.
583 haitallista työnkulkutiedostoa
Hyökkäyksen ydin ei ollut PHP-koodissa; PHP-kirjastot pysyivät vaarattomina . Sen sijaan hyökkääjät lisäsivät 583 haitallista GitHub Actions -työnkulkutiedostoa (.github/workflows/*.yml) kehittäjän lähderepositorioihin. Jokainen saastutettu pakettiversio sisälsi 55–62 tällaista tiedostoa . GitHub Actions -työnkulut ovat YAML-tiedostoja, jotka määrittelevät automaattisia tehtäviä. Hyökkääjät ohjasivat tätä legitiimiä automatisointi-infrastruktuuria omiin tarkoituksiinsa.
Haitallinen mekanismi
Kun forkkaus tai kopio vaarannetusta repositoriosta käynnisti työnkulun (esimerkiksi push-tapahtuman yhteydessä), haitallinen .yml-tiedosto ohjeisti GitHubin Ubuntu-ajuria :
Tunnistamaan ajurin suoritinarkkitehtuuri.
Lataamaan skannaus- ja hyväksikäyttökuorman C2-palvelimelta osoitteesta 43[.]228[.]157[.]68.
Skannaamaan internetiä cPanel- ja WHM-palvelimia löytääkseen.
Hyödyntämään automaattisesti löydettyjä järjestelmiä käyttäen alla kuvattua haavoittuvuutta.
Varastamaan tiedot takaisin C2-palvelimelle.
Tämä muutti jokaisen käynnistetyn työnkulun skannaus- ja hyväksikäyttösolmuksi, käyttäen GitHubin ilmaista infrastruktuuria hajautettuna hyökkäysalustana .
Haavoittuvuus: CVE-2026-41940
Kampanjan kohteena oli CVE-2026-41940, kriittinen haavoittuvuus cPanelissa ja WebHost Managerissa (WHM) .
Perussyy: CRLF (Carriage Return Line Feed) -injektio cpsrvd-palvelun perusautentikointikäsittelijässä . Tunnistautumaton hyökkääjä voi lähettää muokatun Authorization-otsikon, joka sisältää raakoja rivinvaihtomerkkejä. Tämä mahdollistaa mielivaltaisten ominaisuuksien injektoinnin istuntotiedostoon, kuten user=root ja hasroot=1, jolloin hyökkääjä saa pääkäyttäjän oikeudet WHM-liittymään ilman salasanaa .
Korjauspäivä: cPanel julkaisi tietoturvapäivityksen 28. huhtikuuta 2026. Hyökkääjillä on siis ollut useita kuukausia aikaa analysoida korjausta ennen kampanjan alkua.
Varastetut tiedot
Hyökkäyksen onnistuessa varastettiin laaja valikoima tunnuksia ja salaisuuksia. Ensisijaisia kohteita olivat :
Pilviympäristöjen tunnukset: Amazon Web Services (AWS) -avaimet.
Näin laaja tunnusten varastaminen viittaa tieto-agnostiseen, opportunistiseen yritykseen kerätä kaikki arvokkaat pääsytunnukset vaarannetusta palvelimesta .
Kampanjan laajuus: Tuhansia repositorioita vaarantuneena
583 työnkulkutiedostoa 10 Packagist-paketissa olivat vasta alkua. Tutkimalla hyökkääjien indikaattoreita, kuten jaettua DNSHook-paluuosoitetta ja koodin uudelleenkäyttömalleja, tutkijat paljastivat paljon laajemman operaation :
Noin 6 100 työnkulkutiedostoa oli suoraan yhteydessä samaan alkuperäiseen hyökkääjäinfrastruktuuriin .
Noin 15 000–16 000 työnkulkutiedostoa GitHubissa vastasi kampanjan malleja .
Tämä valtava ero viittaa vahvasti siihen, että hyökkääjät vaaransivat paljon enemmän kehittäjätilejä ja repositorioita kuin pelkän dinushchathurya-tilin . Kyse ei ollut yhden pisteen epäonnistumisesta, vaan koordinoidusta, useita tilejä käsittävästä operaatiosta. The Hacker News raportoi jo toukokuussa 2026 erillisestä Packagist-toimitusketjuhyökkäyksestä, jossa vaarantui 8 pakettia ja jossa oli samankaltaisia haitallisia elementtejä . Tämä korostaa ekosysteemin haavoittuvuutta.
Jatkuva uhka: Miksi kampanja on todennäköisesti edelleen aktiivinen
Kampanja on jatkuva uhka, koska hyökkääjän infrastruktuuria ei ole täysin neutraloitu. Kampanja saattaa jatkua :
Forkkien ja peilien kautta: Haitalliset työnkulkutiedostot saattavat olla tallennettuna forkattuihin tai peilattuihin kopioihin vaarannetuista repositorioista.
Välimuistit: GitHubin omat välimuistit saattavat sisältää haitalliset työnkuluversiot.
Varastetut tunnukset: Varastetut tunnukset ovat edelleen hyökkääjän hallussa ja niitä voidaan käyttää lateraaliseen liikkumiseen tai tuleviin hyökkäyksiin.
Toimiva C2-infrastruktuuri: C2-palvelin (43[.]228[.]157[.]68) saattaa olla edelleen toiminnassa ja vastaanottaa aktiivisesti tietoa .
Vaikka alkuperäisen kehittäjän Packagist-tili on jäädytetty, kampanjan laaja jalanjälki (jopa ~16 000 työnkulkutiedostoa) tarkoittaa, että sitä on vaikea hävittää kokonaan .
Tarvittavat suojatoimet
Julkaistun analyysin perusteella organisaatioiden ja kehittäjien tulisi toimia välittömästi seuraavasti :
Päivitä cPanel/WHM välittömästi: CVE-2026-41940 korjattiin 28. huhtikuuta 2026. Mikä tahansa cPanel- tai WHM-asennus (versiot 11.40 jälkeen), jota ei ole päivitetty, on triviaalisti hyväksikäytettävissä tunnistautumattoman etähyökkääjän toimesta. Tämä on tärkein yksittäinen toimenpide.
Tarkasta kaikki GitHub Actions -työnkulut: Tutki kaikki repositorioidesi työnkulkutiedostot, erityisesti ne, jotka:
Lataavat ja suorittavat ulkoisia binääritiedostoja.
Muodostavat ulospäin suuntautuvia verkkoyhteyksiä.
Käynnistyvät push- tai workflow_dispatch-tapahtumien yhteydessä ilman manuaalista tarkistusta.
Ovat kehitys- tai ominaisuushaaroissa, jotka paketinhallinta saattaa synkronoida automaattisesti.
Vaihda kaikki altistuneet tunnukset: Oleta, että jokainen vaarannetulla cPanel/WHM-palvelimella ollut tunnus on varastettu. Tämä koskee erityisesti:
Pilvipalveluiden avaimia (AWS, GCP, Azure).
API-tunnuksia (OpenAI, Google, Stripe).
SSH-avaimia ja tietokantasalasanoja.
Lähdekoodin hallinnan tunnuksia (GitHub, GitLab).
Tarkista tunnetut kompromissin indikaattorit (IOC:t): Etsi lokitiedoistasi verkkoyhteyksiä hyökkääjän C2-IP-osoitteeseen (43[.]228[.]157[.]68) ja tunnettuun DNSHook-paluuosoitteeseen .
Paranna repositorioiden ja paketinhallinnan turvallisuutta:
Ota käyttöön haarojen suojaussäännöt kaikille kehityshaaroille.
Vaadi allekirjoitetut sitoumukset.
Vältä pakettirekistereiden (kuten Packagist) automaattista synkronointia repositoriohaaroista ilman tarkistusvaihetta .
Tarkista Packagistin kehitysversiot: Kun tarkastat riippuvuuksia, tutki erityisesti kehitysversioita (dev-master, dev-main) odottamattomien .github/workflows/-tiedostojen varalta, sillä PHP-koodi saattaa olla puhdas, mutta hyökkäys piilee kokonaan CI/CD-asetuksissa .
