583 Workflow Berbahaya: Serangan Rantai Pasokan Juli 2026 Ubah GitHub Actions Jadi Botnet untuk Bobol cPanel
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya. Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya.
Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Target eksploitasi adalah CVE 2026 41940, celah bypass autentikasi pre auth di cPanel & WHM dengan skor CVSS 9,8, yang sudah diperbaiki pada 28 April 2026.
Payload dirancang untuk mencuri kredensial AWS, token GitHub/GitLab, kunci API OpenAI/Google, kunci Stripe, kredensial database, dan SSH key.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Pada akhir Juli 2026, peneliti keamanan mengungkap kampanye penyalahgunaan rantai pasokan perangkat lunak dan CI/CD dalam skala yang belum pernah terjadi sebelumnya. Penyerang meretas akun seorang developer PHP di Packagist, registry paket PHP utama, dan menggunakannya untuk menyuntikkan ratusan file workflow GitHub Actions berbahaya ke dalam repositori open-source. Tujuannya bukan untuk menginfeksi kode PHP, melainkan untuk mengubah runner CI/CD gratis milik GitHub menjadi botnet terdistribusi dan sekali pakai guna mengeksploitasi kerentanan kritis di cPanel dan WHM, perangkat lunak panel kontrol hosting web yang banyak digunakan .
Berikut rincian kampanye, kerentanan yang dieksploitasi, data yang dicuri, skala operasi, dan langkah pertahanan yang wajib segera Anda lakukan.
Kampanye: Mengubah Runner GitHub menjadi Botnet
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "583 Workflow Berbahaya: Serangan Rantai Pasokan Juli 2026 Ubah GitHub Actions Jadi Botnet untuk Bobol cPanel"?
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya.
Apa poin penting yang harus divalidasi terlebih dahulu?
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya. Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Target eksploitasi adalah CVE 2026 41940, celah bypass autentikasi pre auth di cPanel & WHM dengan skor CVSS 9,8, yang sudah diperbaiki pada 28 April 2026.
583 Workflow Berbahaya: Serangan Rantai Pasokan Juli 2026 Ubah GitHub Actions Jadi Botnet untuk Bobol cPanel
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya. Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya.
Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Target eksploitasi adalah CVE 2026 41940, celah bypass autentikasi pre auth di cPanel & WHM dengan skor CVSS 9,8, yang sudah diperbaiki pada 28 April 2026.
Payload dirancang untuk mencuri kredensial AWS, token GitHub/GitLab, kunci API OpenAI/Google, kunci Stripe, kredensial database, dan SSH key.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Pada akhir Juli 2026, peneliti keamanan mengungkap kampanye penyalahgunaan rantai pasokan perangkat lunak dan CI/CD dalam skala yang belum pernah terjadi sebelumnya. Penyerang meretas akun seorang developer PHP di Packagist, registry paket PHP utama, dan menggunakannya untuk menyuntikkan ratusan file workflow GitHub Actions berbahaya ke dalam repositori open-source. Tujuannya bukan untuk menginfeksi kode PHP, melainkan untuk mengubah runner CI/CD gratis milik GitHub menjadi botnet terdistribusi dan sekali pakai guna mengeksploitasi kerentanan kritis di cPanel dan WHM, perangkat lunak panel kontrol hosting web yang banyak digunakan .
Berikut rincian kampanye, kerentanan yang dieksploitasi, data yang dicuri, skala operasi, dan langkah pertahanan yang wajib segera Anda lakukan.
Kampanye: Mengubah Runner GitHub menjadi Botnet
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "583 Workflow Berbahaya: Serangan Rantai Pasokan Juli 2026 Ubah GitHub Actions Jadi Botnet untuk Bobol cPanel"?
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya.
Apa poin penting yang harus divalidasi terlebih dahulu?
Serangan rantai pasokan skala besar terungkap pada 22 23 Juli 2026, diawali dengan peretasan akun Packagist developer PHP dinushchathurya. Penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya ke sepuluh repositori, mengubah runner GitHub gratis menjadi botnet terdistribusi.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Target eksploitasi adalah CVE 2026 41940, celah bypass autentikasi pre auth di cPanel & WHM dengan skor CVSS 9,8, yang sudah diperbaiki pada 28 April 2026.
Serangan dimulai dengan peretasan akun Packagist milik developer PHP dan DevOps sah bernama dinushchathurya, yang terjadi antara 12-13 Juli 2026 . Packagist dirancang untuk secara otomatis menyinkronkan versi paket dari repositori sumbernya. Fitur ini dipersenjatai oleh penyerang: mereka mendorong versi pengembangan berbahaya 'dev-main' dari semua sepuluh paket yang terkait dengan akun developer tersebut, yang kemudian diserap dan tersedia di Packagist . Kesepuluh paket tersebut adalah library PHP yang sah, namun serangan ini tidak menargetkan pengguna melalui kode PHP.
583 File Workflow Berbahaya
Inti serangan bukan terletak pada kode PHP-nya; library PHP tetap jinak tanpa kait instalasi atau aktivitas jaringan berbahaya . Sebaliknya, penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya (.github/workflows/*.yml) ke dalam repositori sumber developer tersebut. Setiap versi paket yang terkena dampak berisi antara 55 hingga 62 file workflow ini . Workflow GitHub Actions adalah file YAML yang mendefinisikan tugas otomatis, seperti menjalankan tes atau men-deploy kode. Penyerang menggunakan kembali infrastruktur otomatisasi yang sah ini.
Mekanisme Berbahaya
Setelah fork atau salinan repositori yang disusupi memicu sebuah workflow (misalnya, pada peristiwa push), file .yml berbahaya tersebut memerintahkan runner Ubuntu yang dihosting GitHub untuk :
Mendeteksi arsitektur CPU runner.
Mengunduh payload pemindaian dan eksploitasi dari server command-and-control (C2) di alamat IP 43[.]228[.]157[.]68.
Memindai internet untuk sistem yang menjalankan layanan cPanel dan WHM.
Secara otomatis mengeksploitasi sistem yang teridentifikasi menggunakan kerentanan yang dijelaskan di bawah.
Mengeksfiltrasi data curian kembali ke server C2.
Ini secara efektif mengubah setiap workflow yang terpicu menjadi node pemindaian dan eksploitasi, menggunakan infrastruktur gratis GitHub sebagai platform terdistribusi untuk serangan .
Kerentanan: CVE-2026-41940
Target kampanye ini adalah CVE-2026-41940, sebuah kerentanan kritis di cPanel dan WebHost Manager (WHM) .
Jenis: Bypass autentikasi pra-autentikasi .
Tingkat Keparahan: CVSS 9.8 (Kritis) .
Akar Masalah: Kerentanan injeksi CRLF (Carriage Return Line Feed) di penangan autentikasi dasar cpsrvd. Penyerang yang tidak terautentikasi dapat mengirim header Authorization yang dibuat-buat berisi karakter baris baru mentah. Ini memungkinkan mereka menyuntikkan properti arbitrer ke dalam file sesi, seperti user=root dan hasroot=1, yang secara efektif memberi mereka akses administratif tingkat root ke antarmuka WHM tanpa kata sandi yang valid .
Tanggal Patch: cPanel merilis pembaruan keamanan pada 28 April 2026. Ini berarti penyerang memiliki patch yang berfungsi untuk dianalisis selama beberapa bulan sebelum kampanye ini dimulai.
Apa yang Dicuri
Setelah eksploitasi berhasil di server cPanel/WHM yang disusupi, payload pasca-eksploitasi dirancang untuk memanen berbagai macam kredensial dan rahasia. Target utama meliputi :
Kredensial Cloud: Kunci Amazon Web Services (AWS).
Token Kontrol Sumber: Token GitHub, token GitLab.
Kunci API: Kunci API OpenAI, Google.
Pemrosesan Pembayaran: Kunci Stripe.
Kredensial Layanan Email: (mis., Mailgun, SendGrid).
Pencurian berbagai macam kredensial ini menunjukkan upaya pengambilan data secara oportunistik dan agnostik untuk token akses berharga apa pun yang ada di server yang disusupi .
Skala Kampanye: Ribuan Repositori Lain Ikut Dibobol
583 file workflow dalam 10 paket Packagist hanyalah awal dari penemuan. Dengan berpindah pada indikator penyerang seperti domain callback DNSHook bersama dan pola penggunaan ulang kode, peneliti mengungkap operasi yang jauh lebih besar :
~6.100 file workflow terhubung langsung ke infrastruktur penyerang awal yang sama .
~15.000 hingga 16.000 file workflow di GitHub ditemukan cocok dengan pola terkait dari kampanye tersebut .
Perbedaan besar ini sangat menunjukkan bahwa penyerang telah membobol lebih banyak akun dan repositori developer di luar akun dinushchathurya saja . Kampanye ini bukanlah kegagalan satu titik, melainkan operasi multi-akun yang terkoordinasi. The Hacker News melaporkan serangan rantai pasokan Packagist terpisah yang terjadi lebih awal pada Mei 2026 yang membobol 8 paket dengan elemen berbahaya terkait , yang semakin menyoroti kerentanan ekosistem ini.
Risiko Berkelanjutan: Mengapa Kampanye Kemungkinan Masih Aktif
Kampanye ini menimbulkan ancaman persisten karena infrastruktur penyerang tidak sepenuhnya dinetralisir. Kampanye dapat berlanjut melalui :
Fork dan Mirror: File workflow berbahaya mungkin masih ada di salinan repositori yang di-fork atau dicerminkan.
Snapshot Cache: Cache GitHub sendiri mungkin berisi versi workflow berbahaya.
Kredensial Curian: Kredensial yang telah dieksfiltrasi masih dimiliki penyerang dan dapat digunakan untuk pergerakan lateral atau serangan di masa depan.
Infrastruktur C2 yang Bertahan: Server C2 (43[.]228[.]157[.]68) mungkin masih beroperasi dan secara aktif menerima data .
Meskipun akun Packagist developer asli telah ditangguhkan, skala besar file workflow yang cocok (hingga ~16.000) berarti operasi ini memiliki jejak yang luas dan sulit untuk diberantas sepenuhnya .
Tindakan Pertahanan yang Diperlukan
Berdasarkan analisis yang dipublikasikan, organisasi dan developer harus segera mengambil tindakan berikut :
Patch cPanel/WHM Segera: CVE-2026-41940 telah diperbaiki pada 28 April 2026. Setiap instalasi cPanel atau WHM (versi setelah 11.40) yang tidak diperbarui akan mudah dieksploitasi oleh penyerang jarak jauh yang tidak terautentikasi. Ini adalah langkah paling penting.
Audit Semua Workflow GitHub Actions: Tinjau setiap file workflow YAML di repositori Anda, terutama yang:
Mengunduh dan mengeksekusi biner eksternal.
Melakukan koneksi jaringan keluar.
Berjalan pada pemicu push atau workflow_dispatch tanpa tinjauan manual.
Ada di cabang pengembangan atau fitur yang mungkin disinkronkan secara otomatis oleh manajer paket.
Rotasi Semua Kredensial yang Terpapar: Anggap setiap kredensial yang ada di server cPanel/WHM yang disusupi telah dicuri. Ini termasuk, namun tidak terbatas pada:
Kunci penyedia cloud (AWS, GCP, Azure).
Token API (OpenAI, Google, Stripe).
Kunci SSH dan kata sandi database.
Token manajemen kode sumber (GitHub, GitLab).
Periksa Indikator Kompromi (IoC) yang Diketahui: Cari di log Anda untuk koneksi jaringan ke alamat IP C2 penyerang (43[.]228[.]157[.]68) dan domain callback DNSHook yang diketahui .
Perkuat Repositori dan Manajemen Paket:
Aktifkan aturan perlindungan cabang di semua cabang pengembangan.
Wajibkan commit yang ditandatangani.
Hindari sinkronisasi otomatis registry paket (seperti Packagist) langsung dari cabang repositori tanpa langkah tinjauan .
Tinjau Versi Pengembangan Packagist: Saat mengaudit dependensi, periksa secara spesifik versi pengembangan (dev-master, dev-main) untuk file .github/workflows/ yang tidak terduga, karena kode PHP-nya sendiri mungkin bersih sementara serangan hidup sepenuhnya di konfigurasi CI/CD .
Serangan dimulai dengan peretasan akun Packagist milik developer PHP dan DevOps sah bernama dinushchathurya, yang terjadi antara 12-13 Juli 2026 . Packagist dirancang untuk secara otomatis menyinkronkan versi paket dari repositori sumbernya. Fitur ini dipersenjatai oleh penyerang: mereka mendorong versi pengembangan berbahaya 'dev-main' dari semua sepuluh paket yang terkait dengan akun developer tersebut, yang kemudian diserap dan tersedia di Packagist . Kesepuluh paket tersebut adalah library PHP yang sah, namun serangan ini tidak menargetkan pengguna melalui kode PHP.
583 File Workflow Berbahaya
Inti serangan bukan terletak pada kode PHP-nya; library PHP tetap jinak tanpa kait instalasi atau aktivitas jaringan berbahaya . Sebaliknya, penyerang menyuntikkan 583 file workflow GitHub Actions berbahaya (.github/workflows/*.yml) ke dalam repositori sumber developer tersebut. Setiap versi paket yang terkena dampak berisi antara 55 hingga 62 file workflow ini . Workflow GitHub Actions adalah file YAML yang mendefinisikan tugas otomatis, seperti menjalankan tes atau men-deploy kode. Penyerang menggunakan kembali infrastruktur otomatisasi yang sah ini.
Mekanisme Berbahaya
Setelah fork atau salinan repositori yang disusupi memicu sebuah workflow (misalnya, pada peristiwa push), file .yml berbahaya tersebut memerintahkan runner Ubuntu yang dihosting GitHub untuk :
Mendeteksi arsitektur CPU runner.
Mengunduh payload pemindaian dan eksploitasi dari server command-and-control (C2) di alamat IP 43[.]228[.]157[.]68.
Memindai internet untuk sistem yang menjalankan layanan cPanel dan WHM.
Secara otomatis mengeksploitasi sistem yang teridentifikasi menggunakan kerentanan yang dijelaskan di bawah.
Mengeksfiltrasi data curian kembali ke server C2.
Ini secara efektif mengubah setiap workflow yang terpicu menjadi node pemindaian dan eksploitasi, menggunakan infrastruktur gratis GitHub sebagai platform terdistribusi untuk serangan .
Kerentanan: CVE-2026-41940
Target kampanye ini adalah CVE-2026-41940, sebuah kerentanan kritis di cPanel dan WebHost Manager (WHM) .
Jenis: Bypass autentikasi pra-autentikasi .
Tingkat Keparahan: CVSS 9.8 (Kritis) .
Akar Masalah: Kerentanan injeksi CRLF (Carriage Return Line Feed) di penangan autentikasi dasar cpsrvd. Penyerang yang tidak terautentikasi dapat mengirim header Authorization yang dibuat-buat berisi karakter baris baru mentah. Ini memungkinkan mereka menyuntikkan properti arbitrer ke dalam file sesi, seperti user=root dan hasroot=1, yang secara efektif memberi mereka akses administratif tingkat root ke antarmuka WHM tanpa kata sandi yang valid .
Tanggal Patch: cPanel merilis pembaruan keamanan pada 28 April 2026. Ini berarti penyerang memiliki patch yang berfungsi untuk dianalisis selama beberapa bulan sebelum kampanye ini dimulai.
Apa yang Dicuri
Setelah eksploitasi berhasil di server cPanel/WHM yang disusupi, payload pasca-eksploitasi dirancang untuk memanen berbagai macam kredensial dan rahasia. Target utama meliputi :
Kredensial Cloud: Kunci Amazon Web Services (AWS).
Token Kontrol Sumber: Token GitHub, token GitLab.
Kunci API: Kunci API OpenAI, Google.
Pemrosesan Pembayaran: Kunci Stripe.
Kredensial Layanan Email: (mis., Mailgun, SendGrid).
Pencurian berbagai macam kredensial ini menunjukkan upaya pengambilan data secara oportunistik dan agnostik untuk token akses berharga apa pun yang ada di server yang disusupi .
Skala Kampanye: Ribuan Repositori Lain Ikut Dibobol
583 file workflow dalam 10 paket Packagist hanyalah awal dari penemuan. Dengan berpindah pada indikator penyerang seperti domain callback DNSHook bersama dan pola penggunaan ulang kode, peneliti mengungkap operasi yang jauh lebih besar :
~6.100 file workflow terhubung langsung ke infrastruktur penyerang awal yang sama .
~15.000 hingga 16.000 file workflow di GitHub ditemukan cocok dengan pola terkait dari kampanye tersebut .
Perbedaan besar ini sangat menunjukkan bahwa penyerang telah membobol lebih banyak akun dan repositori developer di luar akun dinushchathurya saja . Kampanye ini bukanlah kegagalan satu titik, melainkan operasi multi-akun yang terkoordinasi. The Hacker News melaporkan serangan rantai pasokan Packagist terpisah yang terjadi lebih awal pada Mei 2026 yang membobol 8 paket dengan elemen berbahaya terkait , yang semakin menyoroti kerentanan ekosistem ini.
Risiko Berkelanjutan: Mengapa Kampanye Kemungkinan Masih Aktif
Kampanye ini menimbulkan ancaman persisten karena infrastruktur penyerang tidak sepenuhnya dinetralisir. Kampanye dapat berlanjut melalui :
Fork dan Mirror: File workflow berbahaya mungkin masih ada di salinan repositori yang di-fork atau dicerminkan.
Snapshot Cache: Cache GitHub sendiri mungkin berisi versi workflow berbahaya.
Kredensial Curian: Kredensial yang telah dieksfiltrasi masih dimiliki penyerang dan dapat digunakan untuk pergerakan lateral atau serangan di masa depan.
Infrastruktur C2 yang Bertahan: Server C2 (43[.]228[.]157[.]68) mungkin masih beroperasi dan secara aktif menerima data .
Meskipun akun Packagist developer asli telah ditangguhkan, skala besar file workflow yang cocok (hingga ~16.000) berarti operasi ini memiliki jejak yang luas dan sulit untuk diberantas sepenuhnya .
Tindakan Pertahanan yang Diperlukan
Berdasarkan analisis yang dipublikasikan, organisasi dan developer harus segera mengambil tindakan berikut :
Patch cPanel/WHM Segera: CVE-2026-41940 telah diperbaiki pada 28 April 2026. Setiap instalasi cPanel atau WHM (versi setelah 11.40) yang tidak diperbarui akan mudah dieksploitasi oleh penyerang jarak jauh yang tidak terautentikasi. Ini adalah langkah paling penting.
Audit Semua Workflow GitHub Actions: Tinjau setiap file workflow YAML di repositori Anda, terutama yang:
Mengunduh dan mengeksekusi biner eksternal.
Melakukan koneksi jaringan keluar.
Berjalan pada pemicu push atau workflow_dispatch tanpa tinjauan manual.
Ada di cabang pengembangan atau fitur yang mungkin disinkronkan secara otomatis oleh manajer paket.
Rotasi Semua Kredensial yang Terpapar: Anggap setiap kredensial yang ada di server cPanel/WHM yang disusupi telah dicuri. Ini termasuk, namun tidak terbatas pada:
Kunci penyedia cloud (AWS, GCP, Azure).
Token API (OpenAI, Google, Stripe).
Kunci SSH dan kata sandi database.
Token manajemen kode sumber (GitHub, GitLab).
Periksa Indikator Kompromi (IoC) yang Diketahui: Cari di log Anda untuk koneksi jaringan ke alamat IP C2 penyerang (43[.]228[.]157[.]68) dan domain callback DNSHook yang diketahui .
Perkuat Repositori dan Manajemen Paket:
Aktifkan aturan perlindungan cabang di semua cabang pengembangan.
Wajibkan commit yang ditandatangani.
Hindari sinkronisasi otomatis registry paket (seperti Packagist) langsung dari cabang repositori tanpa langkah tinjauan .
Tinjau Versi Pengembangan Packagist: Saat mengaudit dependensi, periksa secara spesifik versi pengembangan (dev-master, dev-main) untuk file .github/workflows/ yang tidak terduga, karena kode PHP-nya sendiri mungkin bersih sementara serangan hidup sepenuhnya di konfigurasi CI/CD .
