उत्तरप्रकाशित10 घंटे पहलेLast edited 10 घंटे पहले20 स्रोत

GitHub Actions बना बॉटनेट: 583 वर्कफ़्लो फ़ाइलों ने cPanel के खतरनाक बग का किया शोषण

जुलाई 2026 में खोजा गया एक बड़ा सप्लाई चेन अटैक, जिसमें हैकर्स ने PHP डेवलपर 'dinushchathurya' के Packagist अकाउंट को हैक कर लिया। हैकर्स ने 10 पैकेजों में 583 दुर्भावनापूर्ण GitHub Actions वर्कफ़्लो फ़ाइलें (YAML) डाल दीं, जो GitHub के मुफ़्त रनर पर चलकर एक बॉटनेट बन गईं। इन वर्कफ़्लो ने cPanel और WHM में एक गंभीर...

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

Abstract digital representation of a software supply chain attack showing malicious code injection flowing into a network of interconnected GitHub repositories. — Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com

जुलाई 2026 के आखिरी में, साइबर सुरक्षा शोधकर्ताओं ने एक ऐसे सॉफ़्टवेयर सप्लाई चेन हमले का खुलासा किया जिसने पूरी दुनिया को चौंका दिया। हैकर्स ने PHP डेवलपर 'dinushchathurya' के Packagist अकाउंट को हैक करके 10 ओपन-सोर्स रिपॉज़िटरी में 583 दुर्भावनापूर्ण GitHub Actions वर्कफ़्लो फ़ाइलें डाल दीं । इन फ़ाइलों ने GitHub के मुफ़्त CI/CD रनर को cPanel सर्वर पर हमला करने वाले एक विशाल बॉटनेट में बदल दिया।

हमला कैसे हुआ? GitHub रनर बने बॉटनेट

Packagist अकाउंट से शुरुआत

हमले की शुरुआत 12-13 जुलाई 2026 के बीच हुई जब हैकर्स ने डेवलपर 'dinushchathurya' के Packagist अकाउंट का कंट्रोल हासिल कर लिया । Packagist को इस तरह डिज़ाइन किया गया है कि वह सोर्स रिपॉज़िटरी से नए वर्ज़न अपने आप सिंक कर लेता है। हैकर्स ने इसी फ़ीचर का फायदा उठाया और अपने सभी 10 पैकेजों के 'dev-main' वर्ज़न में मैलिशियस कोड डाल दिया ।

583 मैलिशियस वर्कफ़्लो फ़ाइलें

हैरानी की बात यह है कि PHP कोड में कोई खराबी नहीं थी। असली हमला .github/workflows/*.yml फ़ाइलों में छिपा था । ये YAML फ़ाइलें GitHub Actions को बताती हैं कि कौन-से ऑटोमेटेड टास्क करने हैं। हैकर्स ने इन्हीं फ़ाइलों में कोड डालकर GitHub रनर को हथियार बना दिया।

हमले का तरीका

जैसे ही किसी ने इन रिपॉज़िटरी को फ़ोर्क या कॉपी किया, GitHub Actions वर्कफ़्लो एक्टिव हो गया और उसने :

रनर का CPU आर्किटेक्चर चेक किया।
एक C2 सर्वर (IP: 43[.]228[.]157[.]68) से पेलोड डाउनलोड किया।
इंटरनेट पर cPanel और WHM सर्वर स्कैन किए।
नीचे बताई गई कमज़ोरी का फायदा उठाकर सर्वर में घुसपैठ की।
चुराया गया डेटा C2 सर्वर पर भेज दिया।

CVE-2026-41940: cPanel और WHM की जानलेवा कमज़ोरी

यह हमला CVE-2026-41940 नामक एक गंभीर कमज़ोरी का शोषण करता है :

प्रकार: प्री-ऑथेंटिकेशन ऑथेंटिकेशन बायपास (बिना लॉगिन के घुसपैठ) ।
गंभीरता: CVSS 9.8 (क्रिटिकल) ।
कारण: cpsrvd हैंडलर में CRLF इंजेक्शन की कमज़ोरी । हैकर एक खास Authorization हेडर भेजकर सर्वर को बेवकूफ बना सकता है और उसे लगता है कि वह 'root' यूज़र है।
पैच: cPanel ने 28 अप्रैल 2026 को इसका फिक्स जारी कर दिया था ।

क्या-क्या चुराया गया?

संक्रमित cPanel/WHM सर्वर से हैकर्स ने ढेरों क्रेडेंशियल चुरा लिए :

क्लाउड: AWS कीज़
सोर्स कंट्रोल: GitHub टोकन, GitLab टोकन
API कीज़: OpenAI, Google API कीज़
पेमेंट: Stripe कीज़
ईमेल: Mailgun, SendGrid जैसी सेवाओं के क्रेडेंशियल
इन्फ्रास्ट्रक्चर: SSH प्राइवेट की, डेटाबेस क्रेडेंशियल
कॉन्फ़िगरेशन: Git रिमोट कॉन्फ़िगरेशन

हमले का असली पैमाना: 16,000 फ़ाइलें

शोधकर्ताओं ने पाया कि यह हमला सिर्फ एक अकाउंट तक सीमित नहीं था :

लगभग 6,100 वर्कफ़्लो फ़ाइलें सीधे उसी C2 सर्वर से जुड़ी थीं ।
लगभग 15,000 से 16,000 वर्कफ़्लो फ़ाइलें GitHub पर ऐसे पैटर्न से मेल खाती थीं ।

इससे साफ है कि हैकर्स ने 'dinushchathurya' के अलावा भी कई अकाउंट हैक किए थे ।

क्या खतरा अभी भी बाकी है?

हाँ, यह खतरा अभी भी बना हुआ है क्योंकि :

फ़ोर्क और मिरर रिपॉज़िटरी में अब भी मैलिशियस फ़ाइलें मौजूद हो सकती हैं।
GitHub के कैश में भी ये फ़ाइलें हो सकती हैं।
चुराए गए क्रेडेंशियल अब भी हैकर्स के पास हैं।
C2 सर्वर (43[.]228[.]157[.]68) अब भी एक्टिव हो सकता है ।

अभी क्या करें?

विशेषज्ञों के अनुसार, ये कदम तुरंत उठाएँ :

cPanel/WHM तुरंत अपडेट करें: CVE-2026-41940 का पैच पहले से मौजूद है। बिना पैच वाला कोई भी सर्वर खतरे में है।
GitHub Actions वर्कफ़्लो की जाँच करें: सभी .github/workflows/*.yml फ़ाइलों को चेक करें, खासकर वे जो बाहरी बाइनरी डाउनलोड करती हैं या नेटवर्क कनेक्शन बनाती हैं।
सभी एक्सपोज़्ड क्रेडेंशियल बदलें: AWS की, API टोकन, SSH की, डेटाबेस पासवर्ड और Git टोकन तुरंत बदलें।
IOCs की जाँच करें: अपने लॉग में C2 IP (43[.]228[.]157[.]68) और DNSHook डोमेन को खोजें ।
रिपॉज़िटरी सुरक्षित करें: ब्रांच प्रोटेक्शन और साइन किए गए कमिट को इनेबल करें ।
Packagist डेवलपमेंट वर्ज़न की जाँच करें: .github/workflows/ फ़ोल्डर पर खास ध्यान दें, क्योंकि PHP कोड साफ हो सकता है लेकिन हमला CI/CD कॉन्फ़िगरेशन में छिपा हो सकता है ।

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं