Attacco massiccio alla supply chain: i runner di GitHub Actions trasformati in una botnet per violare i server cPanel

Alla fine di luglio 2026, i ricercatori di sicurezza hanno svelato una campagna di attacco alla supply chain e di abuso CI/CD di proporzioni mai viste prima. Gli aggressori hanno compromesso l'account Packagist di uno sviluppatore PHP e lo hanno utilizzato per iniettare centinaia di file di workflow GitHub Actions malevoli in repository open source. L'obiettivo non era infettare il codice PHP, ma trasformare i runner CI/CD gratuiti di GitHub in una botnet distribuita e usa-e-getta per sfruttare una vulnerabilità critica in cPanel e WHM, il popolare pannello di controllo per hosting web .

Ecco un'analisi della campagna, della vulnerabilità sfruttata, di cosa è stato rubato, della reale portata dell'operazione e delle difese da implementare immediatamente.

La Campagna: Trasformare i Runner di GitHub in una Botnet

Vettore d'Ingresso: Un Account Packagist Compromesso

L'attacco è iniziato con il compromissione dell'account Packagist dello sviluppatore PHP e DevOps dinushchathurya, avvenuta tra il 12 e il 13 luglio 2026 . Packagist è progettato per sincronizzare automaticamente le versioni dei pacchetti dai repository sorgente. Questa funzionalità è stata trasformata in un'arma: gli aggressori hanno pubblicato versioni di sviluppo "dev-main" malevole di tutti i dieci pacchetti associati all'account dello sviluppatore, che Packagist ha poi reso disponibili . I dieci pacchetti erano librerie PHP legittime, ma l'attacco non mirava ai loro utenti attraverso il codice PHP.

583 File di Workflow Malevoli

Il cuore dell'attacco non risiedeva nel codice PHP, che è rimasto benigno, senza hook di installazione o attività di rete sospette . Gli aggressori hanno invece iniettato 583 file di workflow GitHub Actions (.github/workflows/*.yml) nei repository sorgente dello sviluppatore. Ogni versione di pacchetto interessata conteneva tra 55 e 62 di questi file . I workflow di GitHub Actions sono file YAML che definiscono attività automatizzate, come l'esecuzione di test o il deploy del codice. Gli aggressori hanno riutilizzato questa legittima infrastruttura di automazione.

Il Meccanismo Malevolo

Una volta che una fork o una copia del repository compromesso attivava un workflow (ad esempio, con un evento push), il file .yml malevolo istruiva il runner Ubuntu ospitato da GitHub a :

1. Rilevare l'architettura CPU del runner.
2. Scaricare un payload di scansione e sfruttamento da un server di comando e controllo (C2) all'indirizzo IP 43[.]228[.]157[.]68.
3. Scansionare Internet alla ricerca di sistemi che eseguono servizi cPanel e WHM.
4. Sfruttare automaticamente i sistemi identificati utilizzando la vulnerabilità descritta di seguito.
5. Esfiltrare i dati rubati al server C2.

Questo trasformava di fatto ogni workflow attivato in un nodo di scansione e sfruttamento, utilizzando l'infrastruttura gratuita di GitHub come piattaforma distribuita per l'attacco .

La Vulnerabilità: CVE-2026-41940

Il bersaglio della campagna era CVE-2026-41940, una vulnerabilità critica in cPanel e WebHost Manager (WHM) .

• Tipo: Bypass dell'autenticazione pre-autenticazione .
• Gravità: CVSS 9.8 (Critico) .
• Causa Principale: Una vulnerabilità di iniezione CRLF (Carriage Return Line Feed) nel gestore di autenticazione base di cpsrvd . Un utente non autenticato poteva inviare un'Authorization header manipolato contenente caratteri di newline. Questo permetteva di iniettare proprietà arbitrarie in un file di sessione, come user=root e hasroot=1, ottenendo di fatto accesso amministrativo root all'interfaccia WHM senza una password valida .
• Data della Patch: cPanel ha rilasciato un aggiornamento di sicurezza il 28 aprile 2026 . Ciò significa che gli aggressori hanno avuto una patch funzionante da analizzare per diversi mesi prima dell'inizio di questa campagna.

Cosa è Stato Rubato

Una volta che lo sfruttamento aveva successo su un server cPanel/WHM compromesso, il payload post-sfruttamento era progettato per raccogliere un'ampia gamma di credenziali e segreti. I bersagli principali includevano :

• Credenziali Cloud: Chiavi Amazon Web Services (AWS).
• Token di Controllo Versione: Token GitHub, token GitLab.
• Chiavi API: Chiavi API OpenAI, Google.
• Elaborazione Pagamenti: Chiavi Stripe.
• Credenziali Servizi Email: (es. Mailgun, SendGrid).
• Infrastruttura: Chiavi SSH private, credenziali database.
• Dati di Configurazione: Configurazioni remote Git.

Il furto di una gamma così ampia di credenziali indica un'acquisizione opportunistica e “data-agnostic” di qualsiasi token di accesso di valore presente sul server compromesso .

Scala della Campagna: Migliaia di Repository Compromessi

I 583 file di workflow nei 10 pacchetti Packagist erano solo la scoperta iniziale. Analizzando gli indicatori degli aggressori, come un dominio di callback DNSHook condiviso e pattern di riutilizzo del codice, i ricercatori hanno scoperto un'operazione molto più ampia :

• ~6.100 file di workflow sono stati direttamente collegati alla stessa infrastruttura iniziale dell'aggressore .
• Da ~15.000 a 16.000 file di workflow su GitHub corrispondevano a pattern correlati alla campagna .

Questa enorme discrepanza suggerisce fortemente che gli aggressori abbiano compromesso molti altri account e repository di sviluppatori oltre al singolo account dinushchathurya . La campagna non era un singolo punto di fallimento, ma un'operazione coordinata su più account. The Hacker News ha riportato un attacco separato alla supply chain di Packagist nel maggio 2026 che ha compromesso 8 pacchetti con elementi malevoli correlati , evidenziando ulteriormente la vulnerabilità dell'ecosistema.

Rischio Persistente: Perché la Campagna è Probabilmente Ancora Attiva

La campagna rappresenta una minaccia persistente perché l'infrastruttura dell'aggressore non è stata completamente neutralizzata. La campagna potrebbe continuare attraverso :

• Fork e Mirror: I file di workflow malevoli potrebbero persistere in copie forkate o mirror dei repository compromessi.
• Snapshot Memorizzati nella Cache: Le stesse cache di GitHub potrebbero contenere le versioni di workflow malevole.
• Credenziali Rubate: Le credenziali già esfiltrate rimangono in possesso dell'aggressore e possono essere utilizzate per movimento laterale o attacchi futuri.
• Infrastruttura C2 Sopravvissuta: Il server C2 (43[.]228[.]157[.]68) potrebbe essere ancora operativo e ricevere dati attivamente .

Mentre l'account Packagist dello sviluppatore originale è stato sospeso, la scala dei file di workflow corrispondenti (fino a ~16.000) significa che l'operazione ha un'impronta molto ampia che è difficile da sradicare completamente .

Azioni Difensive Richieste

Sulla base dell'analisi pubblicata, organizzazioni e sviluppatori dovrebbero intraprendere immediatamente le seguenti azioni :

1. Applicare la Patch di cPanel/WHM Immediatamente: CVE-2026-41940 è stata patchata il 28 aprile 2026. Qualsiasi installazione di cPanel o WHM (versioni successive alla 11.40) che non è aggiornata è banalmente sfruttabile da aggressori remoti non autenticati. Questo è il singolo passo più importante.
2. Controllare Tutti i Workflow di GitHub Actions: Rivedere ogni file YAML di workflow nei vostri repository, specialmente quelli che:
   • Scaricano ed eseguono binari esterni.
   • Effettuano connessioni di rete in uscita.
   • Vengono eseguiti su trigger push o workflow_dispatch senza revisione manuale.
   • Sono presenti in branch di sviluppo o feature branch che potrebbero essere sincronizzati automaticamente da un gestore di pacchetti.
3. Ruotare Tutte le Credenziali Esposte: Dare per scontato che qualsiasi credenziale presente su un server cPanel/WHM compromesso sia stata rubata. Questo include, ma non si limita a:
   • Chiavi del provider cloud (AWS, GCP, Azure).
   • Token API (OpenAI, Google, Stripe).
   • Chiavi SSH e password di database.
   • Token di gestione del codice sorgente (GitHub, GitLab).
4. Verificare la Presenza di Indicatori di Compromissione (IoC) Noti: Cercare nei vostri log le connessioni di rete all'indirizzo IP C2 dell'aggressore (43[.]228[.]157[.]68) e al dominio di callback DNSHook noto .
5. Rafforzare Repository e Gestione dei Pacchetti:
   • Abilitare le regole di protezione dei branch su tutti i branch di sviluppo.
   • Richiedere commit firmati.
   • Evitare la sincronizzazione automatica dei registry di pacchetti (come Packagist) direttamente dai branch del repository senza un passaggio di revisione .
6. Revisionare le Versioni di Sviluppo di Packagist: Quando si controllano le dipendenze, esaminare specificamente le versioni di sviluppo (dev-master, dev-main) per file .github/workflows/ inaspettati, poiché il codice PHP stesso potrebbe essere pulito mentre l'attacco risiede interamente nella configurazione CI/CD .