Serangan Rantaian Bekalan Julai 2026: 583 Fail Workflow GitHub Berniat Jahat Eksploitasi Cpanel Zero-Day (CVE-2026-41940)

Pada akhir Julai 2026, penyelidik keselamatan mendedahkan kempen serangan rantaian bekalan dan penyalahgunaan CI/CD yang tidak pernah berlaku sebelum ini. Penyerang menjejaskan akaun pembangun PHP di Packagist, repositori pakej PHP utama, dan menggunakannya untuk menyuntik beratus-ratus fail workflow GitHub Actions berniat jahat ke dalam repositori sumber terbuka. Matlamatnya bukan untuk menjangkiti kod PHP, tetapi untuk mengubah runner CI/CD percuma GitHub menjadi botnet teragih pakai buang bagi mengeksploitasi kelemahan kritikal dalam cPanel dan WHM, panel kawalan hosting web yang digunakan secara meluas .

Berikut adalah pecahan kempen, kelemahan yang dieksploitasi, apa yang dicuri, skala sebenar operasi, dan langkah pertahanan yang perlu anda laksanakan sekarang.

Kempen: Mengubah Runner GitHub Menjadi Botnet

Titik Masuk: Akaun Packagist Terjejas

Serangan bermula dengan penjejasan akaun Packagist milik pembangun PHP dan DevOps yang sah, dinushchathurya, antara 12 dan 13 Julai 2026 . Packagist direka untuk menyegerakkan versi pakej secara automatik dari repositori sumber. Ciri ini telah dipersenjatai: penyerang menolak versi pembangunan "dev-main" berniat jahat bagi kesemua sepuluh pakej yang dikaitkan dengan akaun pembangun tersebut, yang kemudiannya diserap dan disediakan oleh Packagist .

583 Fail Workflow Berniat Jahat

Teras serangan bukan pada kod PHP itu sendiri; pustaka PHP kekal tidak berbahaya tanpa cangkuk pemasangan atau aktiviti rangkaian berniat jahat . Sebaliknya, penyerang menyuntik 583 fail workflow GitHub Actions berniat jahat (.github/workflows/*.yml) ke dalam repositori sumber pembangun. Setiap versi pakej yang terjejas mengandungi antara 55 dan 62 fail workflow ini . Workflow GitHub Actions ialah fail YAML yang mentakrifkan tugas automatik, seperti menjalankan ujian atau menggunakan kod. Penyerang menggunakan semula infrastruktur automasi yang sah ini untuk tujuan jahat.

Mekanisme Berniat Jahat

Sebaik sahaja fork atau salinan repositori terjejas mencetuskan workflow (contohnya, pada acara push), fail .yml berniat jahat mengarahkan runner Ubuntu yang dihoskan GitHub untuk :

1. Mengesan seni bina CPU runner.
2. Memuat turun muatan pengimbasan dan eksploitasi dari pelayan arahan dan kawalan (C2) di alamat IP 43[.]228[.]157[.]68.
3. Mengimbas internet untuk sistem yang menjalankan perkhidmatan cPanel dan WHM.
4. Mengeksploitasi sistem yang dikenal pasti secara automatik menggunakan kelemahan yang diperincikan di bawah.
5. Mengeksfiltrasikan data yang dicuri kembali ke pelayan C2.

Ini secara efektif mengubah setiap workflow yang dicetuskan menjadi nod pengimbasan dan eksploitasi, menggunakan infrastruktur percuma GitHub sebagai platform teragih untuk serangan .

Kelemahan: CVE-2026-41940

Sasaran kempen ini ialah CVE-2026-41940, kelemahan kritikal dalam cPanel dan WebHost Manager (WHM) .

• Jenis: Pintasan pengesahan pra-pengesahan .
• Keterukan: CVSS 9.8 (Kritikal) .
• Punca: Kelemahan suntikan CRLF (Carriage Return Line Feed) dalam pengendali pengesahan asas cpsrvd . Penyerang yang tidak disahkan boleh menghantar header Authorization yang direka mengandungi aksara baris baharu mentah. Ini membolehkan mereka menyuntik sifat sewenang-wenangnya ke dalam fail sesi, seperti user=root dan hasroot=1, secara efektif memberikan mereka akses pentadbiran peringkat root ke antara muka WHM tanpa kata laluan yang sah .
• Tarikh Tampalan: cPanel mengeluarkan kemas kini keselamatan pada 28 April 2026 . Ini bermakna penyerang mempunyai tampalan yang berfungsi untuk dianalisis selama beberapa bulan sebelum kempen ini bermula.

Apa Yang Dicuri

Sebaik sahaja eksploitasi berjaya pada pelayan cPanel/WHM yang terjejas, muatan pasca-eksploitasi direka untuk menuai pelbagai jenis kredensial dan rahsia. Sasaran utama termasuk :

• Kredensial Awan: Kunci Amazon Web Services (AWS).
• Token Kawalan Sumber: Token GitHub, token GitLab.
• Kunci API: OpenAI, kunci API Google.
• Pemprosesan Pembayaran: Kunci Stripe.
• Kredensial Perkhidmatan E-mel: (contohnya, Mailgun, SendGrid).
• Infrastruktur: Kunci peribadi SSH, kredensial pangkalan data.
• Data Konfigurasi: Konfigurasi jauh Git.

Kecurian pelbagai jenis kredensial ini menunjukkan operasi 'ambil semua yang bernilai' yang tidak memilih dan oportunistik .

Skala Kempen: Ribuan Repositori Lagi Terjejas

583 fail workflow dalam 10 pakej Packagist hanyalah penemuan awal. Dengan beralih pada petunjuk penyerang seperti domain panggil balik DNSHook kongsi dan corak penggunaan semula kod, penyelidik menemui operasi yang jauh lebih besar :

• ~6,100 fail workflow dikaitkan secara langsung dengan infrastruktur penyerang yang sama .
• ~15,000 hingga 16,000 fail workflow di GitHub didapati sepadan dengan corak berkaitan dari kempen ini .

Jurang besar ini menunjukkan dengan kuat bahawa penyerang menjejaskan banyak lagi akaun dan repositori pembangun di luar akaun tunggal dinushchathurya . Kempen ini bukan kegagalan satu titik tetapi operasi pelbagai akaun yang diselaraskan. The Hacker News melaporkan serangan rantaian bekalan Packagist berasingan yang lebih awal pada Mei 2026 yang menjejaskan 8 pakej dengan elemen berniat jahat yang berkaitan , seterusnya menonjolkan kerentanan ekosistem.

Risiko Berterusan: Mengapa Kempen Ini Mungkin Masih Aktif

Kempen ini menimbulkan ancaman berterusan kerana infrastruktur penyerang tidak sepenuhnya dineutralkan. Kempen mungkin berterusan melalui :

• Fork dan Cermin: Fail workflow berniat jahat mungkin kekal dalam salinan fork atau cermin repositori yang terjejas.
• Snapshot Cache: Cache GitHub sendiri mungkin mengandungi versi workflow berniat jahat.
• Kredensial Dicuri: Kredensial yang telah dieksfiltrasikan kekal dalam milikan penyerang dan boleh digunakan untuk pergerakan sisi atau serangan masa depan.
• Infrastruktur C2 yang Masih Beroperasi: Pelayan C2 (43[.]228[.]157[.]68) mungkin masih beroperasi dan menerima data secara aktif .

Walaupun akaun Packagist pembangun asal telah digantung, skala besar fail workflow yang sepadan (sehingga ~16,000) bermakna operasi ini mempunyai jejak yang luas yang sukar untuk dihapuskan sepenuhnya .

Tindakan Pertahanan Diperlukan

Berdasarkan analisis yang diterbitkan, organisasi dan pembangun harus mengambil tindakan berikut dengan segera :

1. Tampal cPanel/WHM Segera: CVE-2026-41940 telah ditambal pada 28 April 2026. Mana-mana pemasangan cPanel atau WHM (versi selepas 11.40) yang tidak dikemas kini boleh dieksploitasi dengan mudah oleh penyerang jauh tanpa pengesahan. Ini adalah langkah paling penting.
2. Audit Semua Workflow GitHub Actions: Semak setiap fail YAML workflow dalam repositori anda, terutamanya yang:
   • Memuat turun dan melaksanakan binari luaran.
   • Membuat sambungan rangkaian keluar.
   • Berjalan pada pencetus push atau workflow_dispatch tanpa semakan manual.
   • Hadir dalam cawangan pembangunan atau ciri yang mungkin disegerakkan secara automatik oleh pengurus pakej.
3. Putar Semua Kredensial Terdedah: Anggap bahawa setiap kredensial yang terdapat pada pelayan cPanel/WHM yang terjejas telah dicuri. Ini termasuk, tetapi tidak terhad kepada:
   • Kunci pembekal awan (AWS, GCP, Azure).
   • Token API (OpenAI, Google, Stripe).
   • Kunci SSH dan kata laluan pangkalan data.
   • Token pengurusan kod sumber (GitHub, GitLab).
4. Semak Petunjuk Kompromi (IOC) yang Diketahui: Cari log anda untuk sambungan rangkaian ke alamat IP C2 penyerang (43[.]228[.]157[.]68) dan domain panggil balik DNSHook yang diketahui .
5. Kukuhkan Repositori dan Pengurusan Pakej:
   • Dayakan peraturan perlindungan cawangan pada semua cawangan pembangunan.
   • Perlukan komit yang ditandatangani.
   • Elakkan menyegerakkan pendaftaran pakej secara automatik (seperti Packagist) terus dari cawangan repositori tanpa langkah semakan .
6. Semak Versi Pembangunan Packagist: Semasa mengaudit kebergantungan, periksa secara khusus versi pembangunan (dev-master, dev-main) untuk fail .github/workflows/ yang tidak dijangka, kerana kod PHP itu sendiri mungkin bersih sementara serangan hidup sepenuhnya dalam konfigurasi CI/CD .