מתקפת הסייבר הענקית שהפכה את GitHub Actions לבוטנט מבוזר
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד. הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – ע...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד.
הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – עקיפת אימות קריטית עם ציון CVSS 9.8.
המתקפה גנפה מגוון רחב של אישורים: מפתחות AWS, טוקנים של GitHub ו GitLab, מפתחות API של OpenAI ו Google, מפתחות Stripe, אישורי SSH וסיסמאות מסד נתונים.
חוקרים זיהו כי היקף המתקפה רחב בהרבה: בין 15,000 ל 16,000 קבצי workflow תואמים ב GitHub, מה שמעיד על פריצה לחשבונות מפתחים רבים נוספים.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
בסוף יולי 2026, חוקרי אבטחה חשפו מתקפת שרשרת אספקה וניצול לרעה של מערכות CI/CD בהיקף חסר תקדים. התוקפים פרצו לחשבון Packagist של מפתח PHP והשתמשו בו כדי להחדיר מאות קבצי GitHub Actions workflow זדוניים למאגרי קוד פתוח. המטרה לא הייתה להדביק קוד PHP, אלא להפוך את שרתי ה-CI/CD החינמיים של GitHub לבוטנט מבוזר וחד-פעמי לניצול פרצת אבטחה קריטית ב-cPanel וב-WHM, תוכנת ניהול האירוח הנפוצה ביותר בעולם .
להלן פירוט מלא של המתקפה, הפגיעות שנוצלה, מה שנגנב, היקף הפעולה האמיתי, וההגנות שעליכם ליישם כעת.
המתקפה: הפיכת שרתי GitHub Actions לבוטנט
נקודת הכניסה: חשבון Packagist שנפרץ
המתקפה החלה בפריצה לחשבון Packagist של מפתח PHP ו-DevOps לגיטימי בשם dinushchathurya, בין ה-12 ל-13 ביולי 2026 . Packagist נועד לסנכרן אוטומטית גרסאות חבילות ממאגרי המקור שלהן. תכונה זו נוצלה לרעה: התוקפים דחפו גרסאות פיתוח זדוניות (dev-main) של כל עשרת החבילות המשויכות לחשבון המפתח, ו-Packagist קלט אותן והפך אותן לזמינות . עשרת החבילות היו ספריות PHP לגיטימיות, אך המתקפה לא כוונה נגד המשתמשים שלהן באמצעות קוד PHP.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "מתקפת הסייבר הענקית שהפכה את GitHub Actions לבוטנט מבוזר"?
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד.
What are the key points to validate first?
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד. הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – עקיפת אימות קריטית עם ציון CVSS 9.8.
What should I do next in practice?
המתקפה גנפה מגוון רחב של אישורים: מפתחות AWS, טוקנים של GitHub ו GitLab, מפתחות API של OpenAI ו Google, מפתחות Stripe, אישורי SSH וסיסמאות מסד נתונים.
מתקפת הסייבר הענקית שהפכה את GitHub Actions לבוטנט מבוזר
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד. הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – ע...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד.
הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – עקיפת אימות קריטית עם ציון CVSS 9.8.
המתקפה גנפה מגוון רחב של אישורים: מפתחות AWS, טוקנים של GitHub ו GitLab, מפתחות API של OpenAI ו Google, מפתחות Stripe, אישורי SSH וסיסמאות מסד נתונים.
חוקרים זיהו כי היקף המתקפה רחב בהרבה: בין 15,000 ל 16,000 קבצי workflow תואמים ב GitHub, מה שמעיד על פריצה לחשבונות מפתחים רבים נוספים.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
בסוף יולי 2026, חוקרי אבטחה חשפו מתקפת שרשרת אספקה וניצול לרעה של מערכות CI/CD בהיקף חסר תקדים. התוקפים פרצו לחשבון Packagist של מפתח PHP והשתמשו בו כדי להחדיר מאות קבצי GitHub Actions workflow זדוניים למאגרי קוד פתוח. המטרה לא הייתה להדביק קוד PHP, אלא להפוך את שרתי ה-CI/CD החינמיים של GitHub לבוטנט מבוזר וחד-פעמי לניצול פרצת אבטחה קריטית ב-cPanel וב-WHM, תוכנת ניהול האירוח הנפוצה ביותר בעולם .
להלן פירוט מלא של המתקפה, הפגיעות שנוצלה, מה שנגנב, היקף הפעולה האמיתי, וההגנות שעליכם ליישם כעת.
המתקפה: הפיכת שרתי GitHub Actions לבוטנט
נקודת הכניסה: חשבון Packagist שנפרץ
המתקפה החלה בפריצה לחשבון Packagist של מפתח PHP ו-DevOps לגיטימי בשם dinushchathurya, בין ה-12 ל-13 ביולי 2026 . Packagist נועד לסנכרן אוטומטית גרסאות חבילות ממאגרי המקור שלהן. תכונה זו נוצלה לרעה: התוקפים דחפו גרסאות פיתוח זדוניות (dev-main) של כל עשרת החבילות המשויכות לחשבון המפתח, ו-Packagist קלט אותן והפך אותן לזמינות . עשרת החבילות היו ספריות PHP לגיטימיות, אך המתקפה לא כוונה נגד המשתמשים שלהן באמצעות קוד PHP.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "מתקפת הסייבר הענקית שהפכה את GitHub Actions לבוטנט מבוזר"?
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד.
What are the key points to validate first?
מתקפת שרשרת אספקה רחבת היקף, שנחשפה ב 22 23 ביולי 2026, פרצה לחשבון Packagist של מפתח PHP בשם dinushchathurya והחדירה 583 קובצי GitHub Actions workflow זדוניים לעשרה מאגרי קוד. הקובצים הפכו את שרתי ה CI/CD החינמיים של GitHub (GitHub Actions runners) לבוטנט מבוזר לסריקת אינטרנט וניצול פרצת CVE 2026 41940 ב cPanel – עקיפת אימות קריטית עם ציון CVSS 9.8.
What should I do next in practice?
המתקפה גנפה מגוון רחב של אישורים: מפתחות AWS, טוקנים של GitHub ו GitLab, מפתחות API של OpenAI ו Google, מפתחות Stripe, אישורי SSH וסיסמאות מסד נתונים.
ליבת המתקפה לא הייתה בקוד ה-PHP עצמו; הספריות נותרו תמימות ללא הוקי התקנה או פעילות רשת זדונית . במקום זאת, התוקפים החדירו 583 קבצי GitHub Actions workflow זדוניים (קובצי .github/workflows/*.yml) לתוך מאגרי המקור של המפתח. כל גרסת חבילה מושפעת הכילה בין 55 ל-62 קובצי workflow כאלה . GitHub Actions workflows הם קובצי YAML המגדירים משימות אוטומטיות, כמו הרצת בדיקות או פריסת קוד. התוקפים ניצלו את תשתית האוטומציה הלגיטימית הזו למטרותיהם.
המנגנון הזדוני
ברגע שעותק (fork) או העתק של המאגר שנפרץ הפעיל workflow (למשל, באירוע push), קובץ ה-.yml הזדוני הורה לשרת Ubuntu המארח של GitHub לבצע את הפעולות הבאות :
זיהוי ארכיטקטורת המעבד של השרת.
הורדת payload לסריקה וניצול משרת פיקוד ושליטה (C2) בכתובת ה-IP 43[.]228[.]157[.]68.
סריקת האינטרנט לאיתור מערכות המפעילות שירותי cPanel ו-WHM.
ניצול אוטומטי של המערכות שזוהו באמצעות הפגיעות המפורטת להלן.
הוצאת הנתונים הגנובים בחזרה לשרת ה-C2.
זה הפך למעשה כל workflow שהופעל לצומת סריקה וניצול, תוך שימוש בתשתית החינמית של GitHub כפלטפורמה מבוזרת למתקפה .
הפגיעות: CVE-2026-41940
מטרת המתקפה הייתה CVE-2026-41940, פגיעות קריטית ב-cPanel וב-WebHost Manager (WHM) .
סוג: עקיפת אימות לפני הזדהות (Pre-authentication authentication bypass) .
חומרה: CVSS 9.8 (קריטי) .
גורם שורש: פגיעות הזרקת CRLF (Carriage Return Line Feed) במנגנון אימות הבסיסי של cpsrvd. תוקף לא מאומת יכול היה לשלוח כותרת Authorization מהונדסת המכילה תווי שורה חדשה גולמיים. זה איפשר לו להזריק מאפיינים שרירותיים לקובץ סשן, כגון user=root ו-hasroot=1, ובכך להעניק לו גישת ניהול מלאת הרשאות (root) לממשק WHM ללא סיסמה תקפה .
תאריך תיקון: cPanel פרסמה עדכון אבטחה ב-28 באפריל 2026 . משמעות הדבר היא שלתוקפים היה תיקון עובד לניתוח במשך מספר חודשים לפני שהחלה מתקפה זו.
מה נגנב
לאחר שהניצול הצליח בשרת cPanel/WHM שנפרץ, ה- payload שלאחר הניצול תוכנן לאסוף מגוון רחב של אישורים וסודות. היעדים העיקריים כללו :
אישורי ענן: מפתחות Amazon Web Services (AWS).
טוקנים לניהול גרסאות: טוקנים של GitHub, טוקנים של GitLab.
מפתחות API: OpenAI, מפתחות Google API.
עיבוד תשלומים: מפתחות Stripe.
אישורי שירות דוא"ל: (למשל, Mailgun, SendGrid).
תשתית: מפתחות פרטיים של SSH, אישורי מסד נתונים.
נתוני תצורה: תצורות Git מרוחקות.
גניבת מגוון כה רחב של אישורים מעידה על חטיפה אופורטוניסטית וחסרת הבחנה של כל טוקן גישה בעל ערך שנמצא בשרת שנפרץ .
היקף המתקפה: אלפי מאגרים נוספים נפרצו
583 קבצי ה-workflow בעשר חבילות Packagist היו רק תגלית ראשונית. על ידי מעבר לאינדיקטורים של התוקף, כגון דומיין Callback DNSHook משותף ודפוסי שימוש חוזר בקוד, חוקרים חשפו פעולה רחבה הרבה יותר :
כ-6,100 קבצי workflow היו מקושרים ישירות לאותה תשתית תוקף ראשונית .
כ-15,000 עד 16,000 קבצי workflow ב-GitHub נמצאו תואמים לדפוסים קשורים מהמתקפה .
הפער העצום הזה מצביע מאוד על כך שהתוקפים פרצו לחשבונות מפתחים ומאגרים רבים נוספים מעבר לחשבון dinushchathurya הבודד . המתקפה לא הייתה כשל נקודתי בודד, אלא פעולה מתואמת ורב-חשבונות. The Hacker News דיווח על מתקפת שרשרת אספקה נפרדת ומוקדמת יותר על Packagist במאי 2026, שפגעה ב-8 חבילות עם אלמנטים זדוניים קשורים , מה שמדגיש עוד יותר את הפגיעות של המערכת האקולוגית.
סיכון מתמשך: מדוע המתקפה ככל הנראה עדיין פעילה
המתקפה מהווה איום מתמשך מכיוון שהתשתית של התוקף לא נוטרלה לחלוטין. ייתכן שהמתקפה תימשך באמצעות :
עותקים מפוצלים (Forks) ומראות (Mirrors): קבצי workflow זדוניים עשויים להתמיד בעותקים מפוצלים או משועתקים של המאגרים שנפרצו.
תמונות מצב במטמון: המטמון של GitHub עצמו עשוי להכיל את גרסאות ה-workflow הזדוניות.
אישורים גנובים: האישורים שכבר הוצאו נותרו ברשות התוקף, וניתן להשתמש בהם לתנועה רוחבית או למתקפות עתידיות.
תשתית C2 שורדת: ייתכן ששרת ה-C2 (43[.]228[.]157[.]68) עדיין פעיל ומקבל נתונים באופן פעיל .
בעוד שחשבון Packagist של המפתח המקורי הושעה, היקף קבצי ה-workflow התואמים (עד כ-16,000) פירושו שלמבצע יש טביעת רגל רחבה שקשה לחסל לחלוטין .
פעולות הגנה נדרשות
בהתבסס על הניתוח שפורסם, ארגונים ומפתחים צריכים לנקוט בפעולות הבאות באופן מיידי :
תיקון cPanel/WHM מיידי: CVE-2026-41940 תוקנה ב-28 באפריל 2026. כל התקנת cPanel או WHM (גרסאות אחרי 11.40) שאינה מעודכנת ניתנת לניצול בקלות על ידי תוקפים מרוחקים לא מאומתים. זהו הצעד החשוב ביותר.
בדיקת כל Workflows של GitHub Actions: סקור כל קובץ workflow YAML במאגרים שלך, במיוחד אלה ש:
מורידים ומבצעים קבצים בינאריים חיצוניים.
מבצעים חיבורי רשת יוצאים.
פועלים על טריגרים של push או workflow_dispatch ללא בדיקה ידנית.
קיימים בענפי פיתוח או תכונה שעשויים להיות מסונכרנים אוטומטית על ידי מנהל חבילות.
סיבוב (Rotation) כל האישורים החשופים: הנח שכל אישור שהיה קיים בשרת cPanel/WHM שנפרץ נגנב. זה כולל, אך לא מוגבל ל:
מפתחות ספק ענן (AWS, GCP, Azure).
טוקני API (OpenAI, Google, Stripe).
מפתחות SSH וסיסמאות מסד נתונים.
טוקנים לניהול קוד מקור (GitHub, GitLab).
בדיקת אינדיקטורים ידועים לפגיעה (IOCs): חפש ביומנים שלך חיבורי רשת לכתובת ה-IP של ה-C2 של התוקף (43[.]228[.]157[.]68) ולדומיין ה-Callback DNSHook הידוע .
הקשחת מאגרים וניהול חבילות:
הפעל כללי הגנה על ענפים (branch protection rules) בכל ענפי הפיתוח.
דרוש commits חתומים.
הימנע מסינכרון אוטומטי של רישומי חבילות (כמו Packagist) ישירות מענפי מאגר ללא שלב בדיקה .
בדיקת גרסאות פיתוח ב-Packagist: בעת ביקורת תלויות (dependencies), בדוק במיוחד גרסאות פיתוח (dev-master, dev-main) לאיתור קבצי .github/workflows/ לא צפויים, מכיוון שקוד PHP עצמו עשוי להיות נקי בעוד שהמתקפה חיה כולה בתצורת ה-CI/CD .
ליבת המתקפה לא הייתה בקוד ה-PHP עצמו; הספריות נותרו תמימות ללא הוקי התקנה או פעילות רשת זדונית . במקום זאת, התוקפים החדירו 583 קבצי GitHub Actions workflow זדוניים (קובצי .github/workflows/*.yml) לתוך מאגרי המקור של המפתח. כל גרסת חבילה מושפעת הכילה בין 55 ל-62 קובצי workflow כאלה . GitHub Actions workflows הם קובצי YAML המגדירים משימות אוטומטיות, כמו הרצת בדיקות או פריסת קוד. התוקפים ניצלו את תשתית האוטומציה הלגיטימית הזו למטרותיהם.
המנגנון הזדוני
ברגע שעותק (fork) או העתק של המאגר שנפרץ הפעיל workflow (למשל, באירוע push), קובץ ה-.yml הזדוני הורה לשרת Ubuntu המארח של GitHub לבצע את הפעולות הבאות :
זיהוי ארכיטקטורת המעבד של השרת.
הורדת payload לסריקה וניצול משרת פיקוד ושליטה (C2) בכתובת ה-IP 43[.]228[.]157[.]68.
סריקת האינטרנט לאיתור מערכות המפעילות שירותי cPanel ו-WHM.
ניצול אוטומטי של המערכות שזוהו באמצעות הפגיעות המפורטת להלן.
הוצאת הנתונים הגנובים בחזרה לשרת ה-C2.
זה הפך למעשה כל workflow שהופעל לצומת סריקה וניצול, תוך שימוש בתשתית החינמית של GitHub כפלטפורמה מבוזרת למתקפה .
הפגיעות: CVE-2026-41940
מטרת המתקפה הייתה CVE-2026-41940, פגיעות קריטית ב-cPanel וב-WebHost Manager (WHM) .
סוג: עקיפת אימות לפני הזדהות (Pre-authentication authentication bypass) .
חומרה: CVSS 9.8 (קריטי) .
גורם שורש: פגיעות הזרקת CRLF (Carriage Return Line Feed) במנגנון אימות הבסיסי של cpsrvd. תוקף לא מאומת יכול היה לשלוח כותרת Authorization מהונדסת המכילה תווי שורה חדשה גולמיים. זה איפשר לו להזריק מאפיינים שרירותיים לקובץ סשן, כגון user=root ו-hasroot=1, ובכך להעניק לו גישת ניהול מלאת הרשאות (root) לממשק WHM ללא סיסמה תקפה .
תאריך תיקון: cPanel פרסמה עדכון אבטחה ב-28 באפריל 2026 . משמעות הדבר היא שלתוקפים היה תיקון עובד לניתוח במשך מספר חודשים לפני שהחלה מתקפה זו.
מה נגנב
לאחר שהניצול הצליח בשרת cPanel/WHM שנפרץ, ה- payload שלאחר הניצול תוכנן לאסוף מגוון רחב של אישורים וסודות. היעדים העיקריים כללו :
אישורי ענן: מפתחות Amazon Web Services (AWS).
טוקנים לניהול גרסאות: טוקנים של GitHub, טוקנים של GitLab.
מפתחות API: OpenAI, מפתחות Google API.
עיבוד תשלומים: מפתחות Stripe.
אישורי שירות דוא"ל: (למשל, Mailgun, SendGrid).
תשתית: מפתחות פרטיים של SSH, אישורי מסד נתונים.
נתוני תצורה: תצורות Git מרוחקות.
גניבת מגוון כה רחב של אישורים מעידה על חטיפה אופורטוניסטית וחסרת הבחנה של כל טוקן גישה בעל ערך שנמצא בשרת שנפרץ .
היקף המתקפה: אלפי מאגרים נוספים נפרצו
583 קבצי ה-workflow בעשר חבילות Packagist היו רק תגלית ראשונית. על ידי מעבר לאינדיקטורים של התוקף, כגון דומיין Callback DNSHook משותף ודפוסי שימוש חוזר בקוד, חוקרים חשפו פעולה רחבה הרבה יותר :
כ-6,100 קבצי workflow היו מקושרים ישירות לאותה תשתית תוקף ראשונית .
כ-15,000 עד 16,000 קבצי workflow ב-GitHub נמצאו תואמים לדפוסים קשורים מהמתקפה .
הפער העצום הזה מצביע מאוד על כך שהתוקפים פרצו לחשבונות מפתחים ומאגרים רבים נוספים מעבר לחשבון dinushchathurya הבודד . המתקפה לא הייתה כשל נקודתי בודד, אלא פעולה מתואמת ורב-חשבונות. The Hacker News דיווח על מתקפת שרשרת אספקה נפרדת ומוקדמת יותר על Packagist במאי 2026, שפגעה ב-8 חבילות עם אלמנטים זדוניים קשורים , מה שמדגיש עוד יותר את הפגיעות של המערכת האקולוגית.
סיכון מתמשך: מדוע המתקפה ככל הנראה עדיין פעילה
המתקפה מהווה איום מתמשך מכיוון שהתשתית של התוקף לא נוטרלה לחלוטין. ייתכן שהמתקפה תימשך באמצעות :
עותקים מפוצלים (Forks) ומראות (Mirrors): קבצי workflow זדוניים עשויים להתמיד בעותקים מפוצלים או משועתקים של המאגרים שנפרצו.
תמונות מצב במטמון: המטמון של GitHub עצמו עשוי להכיל את גרסאות ה-workflow הזדוניות.
אישורים גנובים: האישורים שכבר הוצאו נותרו ברשות התוקף, וניתן להשתמש בהם לתנועה רוחבית או למתקפות עתידיות.
תשתית C2 שורדת: ייתכן ששרת ה-C2 (43[.]228[.]157[.]68) עדיין פעיל ומקבל נתונים באופן פעיל .
בעוד שחשבון Packagist של המפתח המקורי הושעה, היקף קבצי ה-workflow התואמים (עד כ-16,000) פירושו שלמבצע יש טביעת רגל רחבה שקשה לחסל לחלוטין .
פעולות הגנה נדרשות
בהתבסס על הניתוח שפורסם, ארגונים ומפתחים צריכים לנקוט בפעולות הבאות באופן מיידי :
תיקון cPanel/WHM מיידי: CVE-2026-41940 תוקנה ב-28 באפריל 2026. כל התקנת cPanel או WHM (גרסאות אחרי 11.40) שאינה מעודכנת ניתנת לניצול בקלות על ידי תוקפים מרוחקים לא מאומתים. זהו הצעד החשוב ביותר.
בדיקת כל Workflows של GitHub Actions: סקור כל קובץ workflow YAML במאגרים שלך, במיוחד אלה ש:
מורידים ומבצעים קבצים בינאריים חיצוניים.
מבצעים חיבורי רשת יוצאים.
פועלים על טריגרים של push או workflow_dispatch ללא בדיקה ידנית.
קיימים בענפי פיתוח או תכונה שעשויים להיות מסונכרנים אוטומטית על ידי מנהל חבילות.
סיבוב (Rotation) כל האישורים החשופים: הנח שכל אישור שהיה קיים בשרת cPanel/WHM שנפרץ נגנב. זה כולל, אך לא מוגבל ל:
מפתחות ספק ענן (AWS, GCP, Azure).
טוקני API (OpenAI, Google, Stripe).
מפתחות SSH וסיסמאות מסד נתונים.
טוקנים לניהול קוד מקור (GitHub, GitLab).
בדיקת אינדיקטורים ידועים לפגיעה (IOCs): חפש ביומנים שלך חיבורי רשת לכתובת ה-IP של ה-C2 של התוקף (43[.]228[.]157[.]68) ולדומיין ה-Callback DNSHook הידוע .
הקשחת מאגרים וניהול חבילות:
הפעל כללי הגנה על ענפים (branch protection rules) בכל ענפי הפיתוח.
דרוש commits חתומים.
הימנע מסינכרון אוטומטי של רישומי חבילות (כמו Packagist) ישירות מענפי מאגר ללא שלב בדיקה .
בדיקת גרסאות פיתוח ב-Packagist: בעת ביקורת תלויות (dependencies), בדוק במיוחד גרסאות פיתוח (dev-master, dev-main) לאיתור קבצי .github/workflows/ לא צפויים, מכיוון שקוד PHP עצמו עשוי להיות נקי בעוד שהמתקפה חיה כולה בתצורת ה-CI/CD .
