GitHub Actionsが武器に：583件の悪意あるワークフローがcPanelの重大な脆弱性を突く—サプライチェーン攻撃の全容

583の悪意あるワークフローファイル

攻撃の中核はPHPコード自体にはなく、PHPライブラリはインストールフックや悪意のあるネットワーク活動を持たない無害なままでした 。その代わりに、攻撃者は開発者のソースリポジトリに583の悪意あるGitHub Actionsワークフローファイル（.github/workflows/*.yml）を注入しました。影響を受けた各パッケージバージョンには、55〜62のワークフローファイルが含まれていました 。GitHub Actionsワークフローは、テストの実行やコードのデプロイといった自動化タスクを定義するYAMLファイルです。攻撃者はこの正規の自動化インフラを転用しました。

悪意のメカニズム

侵害されたリポジトリのフォークやコピーがワークフローをトリガーすると（例：pushイベント）、悪意のある.ymlファイルはGitHubホステッドのUbuntuランナーに対し、以下の一連の動作を指示しました ：

1. ランナーのCPUアーキテクチャを検出
2. C2サーバ（IPアドレス 43[.]228[.]157[.]68）からスキャンおよびエクスプロイト用ペイロードをダウンロード
3. cPanelおよびWHMサービスを実行しているシステムをインターネット上でスキャン
4. 特定されたシステムに対し、以下に詳述する脆弱性を用いて自動的にエクスプロイトを実行
5. 盗み出したデータをC2サーバに送信

これにより、トリガーされたすべてのワークフローがスキャンおよびエクスプロイトノードと化し、GitHubの無料インフラが分散型攻撃プラットフォームとして利用されました 。

悪用された脆弱性：CVE-2026-41940

このキャンペーンの標的は、cPanelおよびWebHost Manager（WHM）における重大な脆弱性 CVE-2026-41940 でした 。

• 種類： 認証前の認証バイパス
• 深刻度： CVSS 9.8（クリティカル）
• 根本原因： cpsrvd基本認証ハンドラにおけるCRLF（キャリッジリターン・ラインフィード）インジェクション脆弱性 。認証されていない攻撃者が、生の改行文字を含む細工されたAuthorizationヘッダーを送信することで、user=rootやhasroot=1などの任意のプロパティをセッションファイルに注入でき、有効なパスワードなしでWHMインターフェースへのルートレベルの管理アクセスを取得できました
• パッチ公開日： cPanelは2026年4月28日にセキュリティアップデートをリリース 。つまり、攻撃者はこのキャンペーンを開始する前に、数ヶ月にわたってパッチを解析可能でした

窃取されたデータ

cPanel/WHMサーバへのエクスプロイトが成功すると、ポストエクスプロイトペイロードは広範囲の認証情報とシークレットを収集するように設計されていました。主な標的は以下の通りです ：

• クラウド認証情報： Amazon Web Services（AWS）キー
• ソース管理トークン： GitHubトークン、GitLabトークン
• APIキー： OpenAI、Google APIキー
• 決済処理： Stripeキー
• メールサービス認証情報： Mailgun、SendGridなど
• インフラ： SSH秘密鍵、データベース認証情報
• 設定データ： Gitリモート設定

これほど多岐にわたる認証情報の窃取は、侵害されたサーバ上に存在する価値あるアクセストークンを、データの種類を問わず日和見的に収奪することを示しています 。

キャンペーンの規模：さらに数千のリポジトリが侵害

10のPackagistパッケージにおける583のワークフローファイルは、最初の発見に過ぎませんでした。研究者らは、共有されたDNSHookコールバックドメインやコード再利用パターンなどの攻撃者指標を用いて調査を進め、より大規模な操作を明らかにしました ：

• 約6,100のワークフローファイルが、同じ初期の攻撃者インフラに直接リンク
• 約15,000〜16,000のワークフローファイルがGitHub全体で、このキャンペーンに関連するパターンと一致

この大きな乖離は、攻撃者が単一の dinushchathurya アカウントを超えて、さらに多くの開発者アカウントとリポジトリを侵害したことを強く示唆しています 。このキャンペーンは単一障害点によるものではなく、調整された複数アカウントにわたる作戦でした。The Hacker Newsは、2026年5月に発生した別のPackagistサプライチェーン攻撃も報じており、関連する悪意のある要素を含む8つのパッケージが侵害されており、エコシステムの脆弱性をさらに浮き彫りにしています 。

継続するリスク：キャンペーンは現在も活動中である可能性

このキャンペーンは、攻撃者のインフラが完全には無力化されていないため、持続的な脅威をもたらします。キャンペーンは以下を通じて継続する可能性があります ：

• フォークとミラー： 侵害されたリポジトリのフォークやミラーコピーに、悪意のあるワークフローファイルが残存している可能性
• キャッシュされたスナップショット： GitHub自身のキャッシュに、悪意のあるワークフローバージョンが含まれている可能性
• 盗まれた認証情報： すでに流出した認証情報は攻撃者の手に渡ったままであり、水平展開や将来の攻撃に利用される可能性
• 生存するC2インフラ： C2サーバ（43[.]228[.]157[.]68）が依然として稼働し、積極的にデータを受信している可能性

元の開発者のPackagistアカウントは停止されましたが、最大約16,000もの一致するワークフローファイルが存在するという規模は、この作戦が広範囲にわたる足跡を持ち、完全に根絶することが困難であることを意味します 。

必要な防御措置

公開された分析に基づき、組織と開発者は今すぐ以下の措置を取る必要があります ：

1. cPanel/WHMを直ちにパッチ適用： CVE-2026-41940は2026年4月28日に修正されました。cPanelまたはWHM（バージョン11.40以降）でアップデートされていないインスタンスは、認証されていないリモート攻撃者によって簡単に悪用されます。これが最も重要な単一の対策です。
2. すべてのGitHub Actionsワークフローを監査： リポジトリ内のすべてのワークフローYAMLファイル、特に以下の特徴を持つものを確認してください。
   • 外部バイナリをダウンロードして実行する
   • アウトバウンドネットワーク接続を行う
   • 手動レビューなしでpushまたはworkflow_dispatchトリガーで実行される
   • パッケージマネージャーによって自動的に同期される可能性のある開発ブランチやフィーチャーブランチに存在する
3. 露出したすべての認証情報をローテーション： 侵害されたcPanel/WHMサーバ上に存在した認証情報はすべて盗まれたものと想定してください。これには以下が含まれますが、これらに限定されません：
   • クラウドプロバイダーキー（AWS、GCP、Azure）
   • APIトークン（OpenAI、Google、Stripe）
   • SSHキーとデータベースパスワード
   • ソースコード管理トークン（GitHub、GitLab）
4. 既知の侵害指標（IOC）を確認： ログで、攻撃者のC2 IPアドレス（43[.]228[.]157[.]68）および既知のDNSHookコールバックドメインへのネットワーク接続を検索してください 。
5. リポジトリとパッケージ管理の強化：
   • すべての開発ブランチにブランチ保護ルールを有効にする
   • 署名付きコミットを必須にする
   • Packagistのようなパッケージレジストリを、レビューステップなしでリポジトリブランチから自動同期しない
6. Packagistの開発バージョンを確認： 依存関係を監査する際は、予期しない.github/workflows/ファイルがないか、開発バージョン（dev-master、dev-main）を特に調べてください。PHPコード自体は無害でも、CI/CD設定内に攻撃が存在する可能性があるためです 。