583 Workflow Berbahaya: Serangan Rantai Pasokan Juli 2026 Ubah GitHub Actions Jadi Botnet untuk Bobol cPanel

Pada akhir Juli 2026, peneliti keamanan mengungkap kampanye penyalahgunaan rantai pasokan perangkat lunak dan CI/CD dalam skala yang belum pernah terjadi sebelumnya. Penyerang meretas akun seorang developer PHP di Packagist, registry paket PHP utama, dan menggunakannya untuk menyuntikkan ratusan file workflow GitHub Actions berbahaya ke dalam repositori open-source. Tujuannya bukan untuk menginfeksi kode PHP, melainkan untuk mengubah runner CI/CD gratis milik GitHub menjadi botnet terdistribusi dan sekali pakai guna mengeksploitasi kerentanan kritis di cPanel dan WHM, perangkat lunak panel kontrol hosting web yang banyak digunakan .

Berikut rincian kampanye, kerentanan yang dieksploitasi, data yang dicuri, skala operasi, dan langkah pertahanan yang wajib segera Anda lakukan.

Kampanye: Mengubah Runner GitHub menjadi Botnet

Pintu Masuk: Akun Packagist yang Diretas

Serangan dimulai dengan peretasan akun Packagist milik developer PHP dan DevOps sah bernama dinushchathurya, yang terjadi antara 12-13 Juli 2026 . Packagist dirancang untuk secara otomatis menyinkronkan versi paket dari repositori sumbernya. Fitur ini dipersenjatai oleh penyerang: mereka mendorong versi pengembangan berbahaya 'dev-main' dari semua sepuluh paket yang terkait dengan akun developer tersebut, yang kemudian diserap dan tersedia di Packagist . Kesepuluh paket tersebut adalah library PHP yang sah, namun serangan ini tidak menargetkan pengguna melalui kode PHP.

583 File Workflow Berbahaya

Inti serangan bukan terletak pada kode PHP-nya; library PHP tetap jinak tanpa kait instalasi atau aktivitas jaringan berbahaya . Sebaliknya, penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya (.github/workflows/*.yml) ke dalam repositori sumber developer tersebut. Setiap versi paket yang terkena dampak berisi antara 55 hingga 62 file workflow ini . Workflow GitHub Actions adalah file YAML yang mendefinisikan tugas otomatis, seperti menjalankan tes atau men-deploy kode. Penyerang menggunakan kembali infrastruktur otomatisasi yang sah ini.

Mekanisme Berbahaya

Setelah fork atau salinan repositori yang disusupi memicu sebuah workflow (misalnya, pada peristiwa push), file .yml berbahaya tersebut memerintahkan runner Ubuntu yang dihosting GitHub untuk :

1. Mendeteksi arsitektur CPU runner.
2. Mengunduh payload pemindaian dan eksploitasi dari server command-and-control (C2) di alamat IP 43[.]228[.]157[.]68.
3. Memindai internet untuk sistem yang menjalankan layanan cPanel dan WHM.
4. Secara otomatis mengeksploitasi sistem yang teridentifikasi menggunakan kerentanan yang dijelaskan di bawah.
5. Mengeksfiltrasi data curian kembali ke server C2.

Ini secara efektif mengubah setiap workflow yang terpicu menjadi node pemindaian dan eksploitasi, menggunakan infrastruktur gratis GitHub sebagai platform terdistribusi untuk serangan .

Kerentanan: CVE-2026-41940

Target kampanye ini adalah CVE-2026-41940, sebuah kerentanan kritis di cPanel dan WebHost Manager (WHM) .

• Jenis: Bypass autentikasi pra-autentikasi .
• Tingkat Keparahan: CVSS 9.8 (Kritis) .
• Akar Masalah: Kerentanan injeksi CRLF (Carriage Return Line Feed) di penangan autentikasi dasar cpsrvd . Penyerang yang tidak terautentikasi dapat mengirim header Authorization yang dibuat-buat berisi karakter baris baru mentah. Ini memungkinkan mereka menyuntikkan properti arbitrer ke dalam file sesi, seperti user=root dan hasroot=1, yang secara efektif memberi mereka akses administratif tingkat root ke antarmuka WHM tanpa kata sandi yang valid .
• Tanggal Patch: cPanel merilis pembaruan keamanan pada 28 April 2026 . Ini berarti penyerang memiliki patch yang berfungsi untuk dianalisis selama beberapa bulan sebelum kampanye ini dimulai.

Apa yang Dicuri

Setelah eksploitasi berhasil di server cPanel/WHM yang disusupi, payload pasca-eksploitasi dirancang untuk memanen berbagai macam kredensial dan rahasia. Target utama meliputi :

• Kredensial Cloud: Kunci Amazon Web Services (AWS).
• Token Kontrol Sumber: Token GitHub, token GitLab.
• Kunci API: Kunci API OpenAI, Google.
• Pemrosesan Pembayaran: Kunci Stripe.
• Kredensial Layanan Email: (mis., Mailgun, SendGrid).
• Infrastruktur: Kunci privat SSH, kredensial database.
• Data Konfigurasi: Konfigurasi remote Git.

Pencurian berbagai macam kredensial ini menunjukkan upaya pengambilan data secara oportunistik dan agnostik untuk token akses berharga apa pun yang ada di server yang disusupi .

Skala Kampanye: Ribuan Repositori Lain Ikut Dibobol

583 file workflow dalam 10 paket Packagist hanyalah awal dari penemuan. Dengan berpindah pada indikator penyerang seperti domain callback DNSHook bersama dan pola penggunaan ulang kode, peneliti mengungkap operasi yang jauh lebih besar :

• ~6.100 file workflow terhubung langsung ke infrastruktur penyerang awal yang sama .
• ~15.000 hingga 16.000 file workflow di GitHub ditemukan cocok dengan pola terkait dari kampanye tersebut .

Perbedaan besar ini sangat menunjukkan bahwa penyerang telah membobol lebih banyak akun dan repositori developer di luar akun dinushchathurya saja . Kampanye ini bukanlah kegagalan satu titik, melainkan operasi multi-akun yang terkoordinasi. The Hacker News melaporkan serangan rantai pasokan Packagist terpisah yang terjadi lebih awal pada Mei 2026 yang membobol 8 paket dengan elemen berbahaya terkait , yang semakin menyoroti kerentanan ekosistem ini.

Risiko Berkelanjutan: Mengapa Kampanye Kemungkinan Masih Aktif

Kampanye ini menimbulkan ancaman persisten karena infrastruktur penyerang tidak sepenuhnya dinetralisir. Kampanye dapat berlanjut melalui :

• Fork dan Mirror: File workflow berbahaya mungkin masih ada di salinan repositori yang di-fork atau dicerminkan.
• Snapshot Cache: Cache GitHub sendiri mungkin berisi versi workflow berbahaya.
• Kredensial Curian: Kredensial yang telah dieksfiltrasi masih dimiliki penyerang dan dapat digunakan untuk pergerakan lateral atau serangan di masa depan.
• Infrastruktur C2 yang Bertahan: Server C2 (43[.]228[.]157[.]68) mungkin masih beroperasi dan secara aktif menerima data .

Meskipun akun Packagist developer asli telah ditangguhkan, skala besar file workflow yang cocok (hingga ~16.000) berarti operasi ini memiliki jejak yang luas dan sulit untuk diberantas sepenuhnya .

Tindakan Pertahanan yang Diperlukan

Berdasarkan analisis yang dipublikasikan, organisasi dan developer harus segera mengambil tindakan berikut :

1. Patch cPanel/WHM Segera: CVE-2026-41940 telah diperbaiki pada 28 April 2026. Setiap instalasi cPanel atau WHM (versi setelah 11.40) yang tidak diperbarui akan mudah dieksploitasi oleh penyerang jarak jauh yang tidak terautentikasi. Ini adalah langkah paling penting.
2. Audit Semua Workflow GitHub Actions: Tinjau setiap file workflow YAML di repositori Anda, terutama yang:
   • Mengunduh dan mengeksekusi biner eksternal.
   • Melakukan koneksi jaringan keluar.
   • Berjalan pada pemicu push atau workflow_dispatch tanpa tinjauan manual.
   • Ada di cabang pengembangan atau fitur yang mungkin disinkronkan secara otomatis oleh manajer paket.
3. Rotasi Semua Kredensial yang Terpapar: Anggap setiap kredensial yang ada di server cPanel/WHM yang disusupi telah dicuri. Ini termasuk, namun tidak terbatas pada:
   • Kunci penyedia cloud (AWS, GCP, Azure).
   • Token API (OpenAI, Google, Stripe).
   • Kunci SSH dan kata sandi database.
   • Token manajemen kode sumber (GitHub, GitLab).
4. Periksa Indikator Kompromi (IoC) yang Diketahui: Cari di log Anda untuk koneksi jaringan ke alamat IP C2 penyerang (43[.]228[.]157[.]68) dan domain callback DNSHook yang diketahui .
5. Perkuat Repositori dan Manajemen Paket:
   • Aktifkan aturan perlindungan cabang di semua cabang pengembangan.
   • Wajibkan commit yang ditandatangani.
   • Hindari sinkronisasi otomatis registry paket (seperti Packagist) langsung dari cabang repositori tanpa langkah tinjauan .
6. Tinjau Versi Pengembangan Packagist: Saat mengaudit dependensi, periksa secara spesifik versi pengembangan (dev-master, dev-main) untuk file .github/workflows/ yang tidak terduga, karena kode PHP-nya sendiri mungkin bersih sementara serangan hidup sepenuhnya di konfigurasi CI/CD .