Massale aanval via GitHub Actions: criminelen misbruiken gratis rekenkracht om cPanel-servers te kraken
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories. De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories.
De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
Het lek (CVSS 9.8) is een authenticatie omzeiling waardoor aanvallers root toegang krijgen zonder wachtwoord.
Gestolen gegevens: AWS sleutels, GitHub en GitLab tokens, OpenAI/Google API sleutels, Stripe gegevens, SSH sleutels en database inloggegevens.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
In juli 2026 werd een van de grootste software-supply chain-campagnes ooit ontdekt. Aanvallers wisten via een gekraakt account op Packagist (de centrale PHP-pakketbeheerder) honderden kwaadaardige workflow-bestanden in open-source repositories te stoppen. Het doel was niet om PHP-code te besmetten, maar om de gratis rekenkracht van GitHub Actions te misbruiken als een tijdelijk, wijdverspreid botnet. Dit botnet richtte zich op een kritiek lek in cPanel en WHM, software die wereldwijd door hostingproviders wordt gebruikt.
Hoe werkte deze aanval, wat is er gestolen en wat moet je nú doen?
De aanval: een gekraakt Packagist-account als startpunt
Toegang via een legitieme ontwikkelaar
De aanvallers wisten tussen het Packagist-account van de legitieme PHP- en DevOps-ontwikkelaar te kraken. Packagist synchroniseert automatisch nieuwe pakketversies van GitHub. Deze functie werd misbruikt: de aanvallers pushten kwaadaardige 'dev-main'-ontwikkelversies van alle die aan het account waren gekoppeld. De pakketten bevatten gewone PHP-bibliotheken – de schadelijke code zat niet in de PHP-code zelf.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massale aanval via GitHub Actions: criminelen misbruiken gratis rekenkracht om cPanel-servers te kraken"?
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories.
What are the key points to validate first?
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories. De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
What should I do next in practice?
Het lek (CVSS 9.8) is een authenticatie omzeiling waardoor aanvallers root toegang krijgen zonder wachtwoord.
Massale aanval via GitHub Actions: criminelen misbruiken gratis rekenkracht om cPanel-servers te kraken
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories. De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories.
De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
Het lek (CVSS 9.8) is een authenticatie omzeiling waardoor aanvallers root toegang krijgen zonder wachtwoord.
Gestolen gegevens: AWS sleutels, GitHub en GitLab tokens, OpenAI/Google API sleutels, Stripe gegevens, SSH sleutels en database inloggegevens.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
In juli 2026 werd een van de grootste software-supply chain-campagnes ooit ontdekt. Aanvallers wisten via een gekraakt account op Packagist (de centrale PHP-pakketbeheerder) honderden kwaadaardige workflow-bestanden in open-source repositories te stoppen. Het doel was niet om PHP-code te besmetten, maar om de gratis rekenkracht van GitHub Actions te misbruiken als een tijdelijk, wijdverspreid botnet. Dit botnet richtte zich op een kritiek lek in cPanel en WHM, software die wereldwijd door hostingproviders wordt gebruikt.
Hoe werkte deze aanval, wat is er gestolen en wat moet je nú doen?
De aanval: een gekraakt Packagist-account als startpunt
Toegang via een legitieme ontwikkelaar
De aanvallers wisten tussen het Packagist-account van de legitieme PHP- en DevOps-ontwikkelaar te kraken. Packagist synchroniseert automatisch nieuwe pakketversies van GitHub. Deze functie werd misbruikt: de aanvallers pushten kwaadaardige 'dev-main'-ontwikkelversies van alle die aan het account waren gekoppeld. De pakketten bevatten gewone PHP-bibliotheken – de schadelijke code zat niet in de PHP-code zelf.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massale aanval via GitHub Actions: criminelen misbruiken gratis rekenkracht om cPanel-servers te kraken"?
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories.
What are the key points to validate first?
Aanvallers kraakten het Packagist account van een PHP ontwikkelaar en plaatsten 583 kwaadaardige GitHub Actions workflows in tien repositories. De workflows gebruikten gratis GitHub rekenkracht om het internet te scannen op kwetsbare cPanel/WHM servers (CVE 2026 41940).
What should I do next in practice?
Het lek (CVSS 9.8) is een authenticatie omzeiling waardoor aanvallers root toegang krijgen zonder wachtwoord.
In plaats van PHP te besmetten, plaatsten de aanvallers maar liefst 583 kwaadaardige GitHub Actions workflow-bestanden (.github/workflows/*.yml) in de broncode-repositories. Elk aangetast pakket bevatte tussen de 55 en 62 van deze bestanden. GitHub Actions-workflows zijn normaal gesproken handige YAML-bestanden voor geautomatiseerde taken, zoals het draaien van tests. De aanvallers maakten hier misbruik van.
Van workflow tot botnet
Zodra een workflow werd geactiveerd (bijvoorbeeld bij een push), gebeurde het volgende op de gratis Ubuntu-rekenkracht van GitHub :
Detecteren van het CPU-type van de runner.
Downloaden van een scan- en exploitatietool van een command & control-server (IP-adres 43[.]228[.]157[.]68).
Scannen van het internet op systemen met cPanel en WHM.
Automatisch aanvallen van kwetsbare systemen via het onderstaande lek.
Terugsturen van gestolen gegevens naar de server van de aanvallers.
Op deze manier werd elke geactiveerde workflow een scan- en aanvalsnode, en werd GitHub Actions een crimineel distributieplatform.
Het lek: CVE-2026-41940
Het doelwit van de campagne was CVE-2026-41940, een kritiek lek in cPanel en WebHost Manager (WHM).
Type: Authenticatie-omzeiling vóór inloggen.
Ernst: CVSS 9.8 (Kritiek).
Oorzaak: Een CRLF-injectie in de cpsrvd-authenticatiehandler. Een aanvaller kan een speciaal geprepareerde Authorization-header sturen. Hierdoor kon men eigenschappen als user=root en hasroot=1 in een sessiebestand injecteren en zo volledige beheerdersrechten krijgen zonder wachtwoord.
Patch: cPanel bracht een beveiligingsupdate uit op 28 april 2026. De aanvallers hadden dus maanden de tijd om de patch te analyseren en de aanval voor te bereiden.
Wat is er gestolen?
Op de gekraakte cPanel/WHM-servers werd een breed scala aan inloggegevens gestolen. Het ging om een opportunistische buit, zonder specifiek doel. :
Cloud-sleutels: Amazon Web Services (AWS)-sleutels.
Source control-tokens: GitHub- en GitLab-tokens.
API-sleutels: OpenAI-, Google-API-sleutels.
Betalingsverwerking: Stripe-sleutels.
E-maildiensten: inloggegevens voor Mailgun, SendGrid en vergelijkbare diensten.
De 583 workflow-bestanden in de 10 Packagist-pakketten waren slechts het topje van de ijsberg. Door te zoeken naar gedeelde patronen (zoals een callback-domein van DNSHook en code-hergebruik) ontdekten onderzoekers een veel grotere operatie :
Ongeveer 6.100 workflow-bestanden waren direct aan dezelfde aanvallers te koppelen.
Maar liefst 15.000 tot 16.000 workflow-bestanden op GitHub vertoonden overeenkomsten met de campagne.
Dit wijst er sterk op dat de aanvallers niet één, maar meerdere ontwikkelaarsaccounts en repositories hebben gekraakt. De campagne was een gecoördineerde actie, niet een eenmalige fout. Een eerdere aanval op Packagist in mei 2026, waarbij 8 pakketten werden besmet, past in dit patroon.
Blijvend risico: waarom de aanval nog niet voorbij is
De campagne is waarschijnlijk nog actief. De infrastructuur van de aanvallers is niet volledig uitgeschakeld.
Forks en kopieën: Kwaadaardige workflows kunnen nog bestaan in geforkte of gekopieerde repositories.
Caches: GitHub's eigen caches kunnen nog de oude, kwaadaardige versies bevatten.
Gestolen gegevens: De buitgemaakte inloggegevens zijn nog in handen van de criminelen.
Command & control-server: Het IP-adres 43[.]228[.]157[.]68 is mogelijk nog actief.
De omvang maakt het onmogelijk om alle sporen uit te wissen.
Wat je nu moet doen
Op basis van de analyses zijn de volgende stappen cruciaal :
Patch cPanel/WHM direct: Het lek CVE-2026-41940 is al sinds 28 april 2026 gedicht. Elk systeem dat niet is bijgewerkt, is een makkelijk doelwit.
Audit alle GitHub Actions-workflows: Controleer ieder workflow-bestand in je repositories, vooral als het:
Externe programma's downloadt en uitvoert.
Uitgaande netwerkverbindingen maakt.
Wordt geactiveerd door push of workflow_dispatch zonder handmatige controle.
Draai alle mogelijk gestolen sleutels: Ga ervan uit dat elk wachtwoord of elke sleutel op een gekraakte server is gestolen. Denk aan:
Cloud-sleutels (AWS, Google Cloud, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-sleutels en database-wachtwoorden.
Tokens voor versiebeheer (GitHub, GitLab).
Zoek naar bekende indicatoren: Controleer logs op verbindingen met het IP-adres 43[.]228[.]157[.]68 en het bekende DNSHook-domein.
Versterk beveiliging van repositories:
Gebruik branch protection-rules.
Eis ondertekende commits.
Voorkom automatische synchronisatie van pakketbeheerders zoals Packagist zonder tussenstap.
Controleer Packagist-ontwikkelversies: Bij het controleren van afhankelijkheden, kijk specifiek naar 'dev-master' of 'dev-main'-versies. De PHP-code kan veilig lijken, maar de aanval zit in de CI/CD-configuratie (.github/workflows/).
In plaats van PHP te besmetten, plaatsten de aanvallers maar liefst 583 kwaadaardige GitHub Actions workflow-bestanden (.github/workflows/*.yml) in de broncode-repositories. Elk aangetast pakket bevatte tussen de 55 en 62 van deze bestanden. GitHub Actions-workflows zijn normaal gesproken handige YAML-bestanden voor geautomatiseerde taken, zoals het draaien van tests. De aanvallers maakten hier misbruik van.
Van workflow tot botnet
Zodra een workflow werd geactiveerd (bijvoorbeeld bij een push), gebeurde het volgende op de gratis Ubuntu-rekenkracht van GitHub :
Detecteren van het CPU-type van de runner.
Downloaden van een scan- en exploitatietool van een command & control-server (IP-adres 43[.]228[.]157[.]68).
Scannen van het internet op systemen met cPanel en WHM.
Automatisch aanvallen van kwetsbare systemen via het onderstaande lek.
Terugsturen van gestolen gegevens naar de server van de aanvallers.
Op deze manier werd elke geactiveerde workflow een scan- en aanvalsnode, en werd GitHub Actions een crimineel distributieplatform.
Het lek: CVE-2026-41940
Het doelwit van de campagne was CVE-2026-41940, een kritiek lek in cPanel en WebHost Manager (WHM).
Type: Authenticatie-omzeiling vóór inloggen.
Ernst: CVSS 9.8 (Kritiek).
Oorzaak: Een CRLF-injectie in de cpsrvd-authenticatiehandler. Een aanvaller kan een speciaal geprepareerde Authorization-header sturen. Hierdoor kon men eigenschappen als user=root en hasroot=1 in een sessiebestand injecteren en zo volledige beheerdersrechten krijgen zonder wachtwoord.
Patch: cPanel bracht een beveiligingsupdate uit op 28 april 2026. De aanvallers hadden dus maanden de tijd om de patch te analyseren en de aanval voor te bereiden.
Wat is er gestolen?
Op de gekraakte cPanel/WHM-servers werd een breed scala aan inloggegevens gestolen. Het ging om een opportunistische buit, zonder specifiek doel. :
Cloud-sleutels: Amazon Web Services (AWS)-sleutels.
Source control-tokens: GitHub- en GitLab-tokens.
API-sleutels: OpenAI-, Google-API-sleutels.
Betalingsverwerking: Stripe-sleutels.
E-maildiensten: inloggegevens voor Mailgun, SendGrid en vergelijkbare diensten.
De 583 workflow-bestanden in de 10 Packagist-pakketten waren slechts het topje van de ijsberg. Door te zoeken naar gedeelde patronen (zoals een callback-domein van DNSHook en code-hergebruik) ontdekten onderzoekers een veel grotere operatie :
Ongeveer 6.100 workflow-bestanden waren direct aan dezelfde aanvallers te koppelen.
Maar liefst 15.000 tot 16.000 workflow-bestanden op GitHub vertoonden overeenkomsten met de campagne.
Dit wijst er sterk op dat de aanvallers niet één, maar meerdere ontwikkelaarsaccounts en repositories hebben gekraakt. De campagne was een gecoördineerde actie, niet een eenmalige fout. Een eerdere aanval op Packagist in mei 2026, waarbij 8 pakketten werden besmet, past in dit patroon.
Blijvend risico: waarom de aanval nog niet voorbij is
De campagne is waarschijnlijk nog actief. De infrastructuur van de aanvallers is niet volledig uitgeschakeld.
Forks en kopieën: Kwaadaardige workflows kunnen nog bestaan in geforkte of gekopieerde repositories.
Caches: GitHub's eigen caches kunnen nog de oude, kwaadaardige versies bevatten.
Gestolen gegevens: De buitgemaakte inloggegevens zijn nog in handen van de criminelen.
Command & control-server: Het IP-adres 43[.]228[.]157[.]68 is mogelijk nog actief.
De omvang maakt het onmogelijk om alle sporen uit te wissen.
Wat je nu moet doen
Op basis van de analyses zijn de volgende stappen cruciaal :
Patch cPanel/WHM direct: Het lek CVE-2026-41940 is al sinds 28 april 2026 gedicht. Elk systeem dat niet is bijgewerkt, is een makkelijk doelwit.
Audit alle GitHub Actions-workflows: Controleer ieder workflow-bestand in je repositories, vooral als het:
Externe programma's downloadt en uitvoert.
Uitgaande netwerkverbindingen maakt.
Wordt geactiveerd door push of workflow_dispatch zonder handmatige controle.
Draai alle mogelijk gestolen sleutels: Ga ervan uit dat elk wachtwoord of elke sleutel op een gekraakte server is gestolen. Denk aan:
Cloud-sleutels (AWS, Google Cloud, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-sleutels en database-wachtwoorden.
Tokens voor versiebeheer (GitHub, GitLab).
Zoek naar bekende indicatoren: Controleer logs op verbindingen met het IP-adres 43[.]228[.]157[.]68 en het bekende DNSHook-domein.
Versterk beveiliging van repositories:
Gebruik branch protection-rules.
Eis ondertekende commits.
Voorkom automatische synchronisatie van pakketbeheerders zoals Packagist zonder tussenstap.
Controleer Packagist-ontwikkelversies: Bij het controleren van afhankelijkheden, kijk specifiek naar 'dev-master' of 'dev-main'-versies. De PHP-code kan veilig lijken, maar de aanval zit in de CI/CD-configuratie (.github/workflows/).
