GitHub Actions 러너를 봇넷으로: cPanel 제로데이 악용 대규모 캠페인

2026년 7월 하순, 보안 연구원들은 전례 없는 규모의 소프트웨어 서플라이 체인 및 CI/CD 남용 캠페인을 공개했습니다. 공격자들은 주요 PHP 패키지 레지스트리인 Packagist에 등록된 한 PHP 개발자의 계정을 탈취하여 오픈소스 저장소에 수백 개의 악성 GitHub Actions 워크플로 파일을 주입했습니다. 목표는 PHP 코드를 감염시키는 것이 아니라, GitHub의 무료 CI/CD 러너를 분산형 일회용 봇넷으로 전환하여 널리 사용되는 웹 호스팅 제어판 소프트웨어인 cPanel 및 WHM의 치명적인 취약점을 악용하는 것이었습니다 .

이 글에서는 캠페인의 세부 내용, 악용된 취약점, 탈취된 데이터, 실제 규모, 그리고 지금 당장 필요한 방어 조치를 설명합니다.

캠페인: GitHub 러너를 봇넷으로 전환

침투 경로: 탈취된 Packagist 계정

공격은 2026년 7월 12일에서 13일 사이에 합법적인 PHP 및 DevOps 개발자 dinushchathurya의 Packagist 계정이 탈취되면서 시작되었습니다 . Packagist는 기본적으로 소스 저장소에서 패키지 버전을 자동으로 동기화하도록 설계되었습니다. 공격자들은 이 기능을 무기화하여 개발자 계정과 연결된 10개의 모든 패키지에 대해 악성 'dev-main' 개발 버전을 푸시했고, Packagist가 이를 수집하여 사용 가능하게 만들었습니다 . 해당 10개 패키지는 합법적인 PHP 라이브러리였지만, 공격은 PHP 코드를 통해 사용자를 표적으로 삼지 않았습니다.

583개의 악성 워크플로 파일

공격의 핵심은 PHP 코드 자체에 있지 않았습니다. PHP 라이브러리 자체는 설치 후크나 악성 네트워크 활동 없이 양호한 상태를 유지했습니다 . 대신 공격자들은 개발자의 소스 저장소에 583개의 악성 GitHub Actions 워크플로 파일(.github/workflows/*.yml)을 주입했습니다. 영향을 받은 각 패키지 버전에는 55~62개의 워크플로 파일이 포함되어 있었습니다 . GitHub Actions 워크플로는 테스트 실행이나 코드 배포와 같은 자동화된 작업을 정의하는 YAML 파일입니다. 공격자들은 이 합법적인 자동화 인프라를 다른 목적으로 전용했습니다.

악성 메커니즘

탈취된 저장소의 포크나 복사본이 워크플로를 트리거하면(예: push 이벤트), 악성 .yml 파일은 GitHub 호스팅 Ubuntu 러너에게 다음 작업을 지시했습니다 :

1. 러너의 CPU 아키텍처를 감지합니다.
2. IP 주소 43[.]228[.]157[.]68에 있는 명령 및 제어(C2) 서버에서 스캐닝 및 악용 페이로드를 다운로드합니다.
3. cPanel 및 WHM 서비스를 실행하는 시스템을 인터넷에서 스캔합니다.
4. 아래에 설명된 취약점을 사용하여 식별된 시스템을 자동으로 악용합니다.
5. 탈취된 데이터를 C2 서버로 유출합니다.

이를 통해 트리거된 모든 워크플로가 스캐닝 및 악용 노드로 전환되어, GitHub의 무료 인프라를 공격을 위한 분산 플랫폼으로 사용했습니다 .

취약점: CVE-2026-41940

이 캠페인의 표적은 CVE-2026-41940로, cPanel 및 WebHost Manager(WHM)의 치명적인 취약점입니다 .

• 유형: 사전 인증 인증 우회 .
• 심각도: CVSS 9.8 (치명적) .
• 근본 원인: cpsrvd 기본 인증 핸들러의 CRLF(캐리지 리턴 라인 피드) 주입 취약점 . 인증되지 않은 공격자는 원시 줄 바꿈 문자를 포함하는 조작된 Authorization 헤더를 보낼 수 있습니다. 이를 통해 user=root 및 hasroot=1과 같은 임의 속성을 세션 파일에 주입하여 유효한 비밀번호 없이 WHM 인터페이스에 대한 루트 수준의 관리 액세스 권한을 효과적으로 부여받을 수 있습니다 .
• 패치 발표일: cPanel은 2026년 4월 28일에 보안 업데이트를 출시했습니다 . 이는 공격자들이 이 캠페인을 시작하기 전에 몇 달 동안 분석할 수 있는 작업 패치를 가지고 있었음을 의미합니다.

무엇이 도난당했는가

영향을 받은 cPanel/WHM 서버에서 악용에 성공하면, 사후 악용 페이로드는 광범위한 자격 증명과 비밀 정보를 수집하도록 설계되었습니다. 주요 표적은 다음과 같습니다 :

• 클라우드 자격 증명: Amazon Web Services(AWS) 키.
• 소스 제어 토큰: GitHub 토큰, GitLab 토큰.
• API 키: OpenAI, Google API 키.
• 결제 처리: Stripe 키.
• 이메일 서비스 자격 증명: (예: Mailgun, SendGrid).
• 인프라: SSH 개인 키, 데이터베이스 자격 증명.
• 구성 데이터: Git 원격 구성.

이처럼 다양한 자격 증명의 도난은 손상된 서버에 존재하는 모든 가치 있는 액세스 토큰을 기회적으로 탈취하려는 데이터 무차별적인 시도를 나타냅니다 .

캠페인 규모: 수천 개의 추가 저장소 손상

10개의 Packagist 패키지에 있는 583개의 워크플로 파일은 초기 발견에 불과했습니다. 공유 DNSHook 콜백 도메인 및 코드 재사용 패턴과 같은 공격자 지표를 기반으로 조사한 결과, 훨씬 더 큰 작업이 드러났습니다 :

• 약 6,100개의 워크플로 파일이 동일한 초기 공격자 인프라와 직접 연결되었습니다 .
• 약 15,000~16,000개의 워크플로 파일이 GitHub 전반에서 캠페인의 관련 패턴과 일치하는 것으로 발견되었습니다 .

이 엄청난 차이는 공격자들이 단일 dinushchathurya 계정을 넘어 훨씬 더 많은 개발자 계정과 저장소를 손상시켰을 가능성이 매우 높음을 강력히 시사합니다 . 이 캠페인은 단일 지점의 실패가 아니라 조정된 다중 계정 작업이었습니다. The Hacker News는 2026년 5월에 관련 악성 요소를 가진 8개의 패키지를 손상시킨 별도의 Packagist 서플라이 체인 공격을 보고하여 , 생태계의 취약성을 더욱 강조했습니다.

지속적인 위험: 캠페인이 여전히 활성화되어 있을 가능성

이 캠페인은 공격자의 인프라가 완전히 무력화되지 않았기 때문에 지속적인 위협이 됩니다. 캠페인은 다음을 통해 계속될 수 있습니다 :

• 포크 및 미러: 악성 워크플로 파일이 손상된 저장소의 포크 또는 미러 복사본에 남아 있을 수 있습니다.
• 캐시된 스냅샷: GitHub 자체 캐시에 악성 워크플로 버전이 포함될 수 있습니다.
• 도난당한 자격 증명: 이미 유출된 자격 증명은 공격자의 손에 남아 있으며 측면 이동이나 향후 공격에 사용될 수 있습니다.
• 생존 C2 인프라: C2 서버(43[.]228[.]157[.]68)는 여전히 작동 중이며 적극적으로 데이터를 수신하고 있을 수 있습니다 .

원래 개발자의 Packagist 계정이 정지되었지만, 일치하는 워크플로 파일의 방대한 규모(최대 ~16,000개)는 완전히 근절하기 어려운 광범위한 작업임을 의미합니다 .

필요한 방어 조치

공개된 분석에 따르면, 조직과 개발자는 즉시 다음 조치를 취해야 합니다 :

1. cPanel/WHM 즉시 패치: CVE-2026-41940은 2026년 4월 28일에 패치되었습니다. 업데이트되지 않은 모든 cPanel 또는 WHM 설치(11.40 이후 버전)는 인증되지 않은 원격 공격자에 의해 사소하게 악용될 수 있습니다. 이것이 가장 중요한 단일 조치입니다.
2. 모든 GitHub Actions 워크플로 감사: 저장소의 모든 워크플로 YAML 파일, 특히 다음을 수행하는 파일을 검토하십시오:
   • 외부 바이너리를 다운로드하고 실행합니다.
   • 아웃바운드 네트워크 연결을 만듭니다.
   • 수동 검토 없이 push 또는 workflow_dispatch 트리거에서 실행됩니다.
   • 패키지 관리자에 의해 자동으로 동기화될 수 있는 개발 또는 기능 브랜치에 있습니다.
3. 노출된 모든 자격 증명 교체: 손상된 cPanel/WHM 서버에 존재하는 모든 자격 증명이 도난당했다고 가정하십시오. 여기에는 다음이 포함되지만 이에 국한되지는 않습니다:
   • 클라우드 제공업체 키(AWS, GCP, Azure).
   • API 토큰(OpenAI, Google, Stripe).
   • SSH 키 및 데이터베이스 비밀번호.
   • 소스 코드 관리 토큰(GitHub, GitLab).
4. 알려진 침해 지표(IOC) 확인: 공격자의 C2 IP 주소(43[.]228[.]157[.]68) 및 알려진 DNSHook 콜백 도메인에 대한 네트워크 연결이 있는지 로그를 검색하십시오 .
5. 저장소 및 패키지 관리 강화:
   • 모든 개발 브랜치에 브랜치 보호 규칙을 활성화하십시오.
   • 서명된 커밋을 요구하십시오.
   • 검토 단계 없이 패키지 레지스트리(예: Packagist)를 저장소 브랜치에서 직접 자동 동기화하지 마십시오 .
6. Packagist 개발 버전 검토: 종속성을 감사할 때 예상치 못한 .github/workflows/ 파일이 있는지 개발 버전(dev-master, dev-main)을 구체적으로 검사하십시오. PHP 코드 자체는 깨끗할 수 있지만 공격은 전적으로 CI/CD 구성에 존재하기 때문입니다 .