I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti... Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbo...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti...
Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbotnet for å målrette CVE 2026 41940, en pre autentiseringsomgåelse i cPanel og WHM (CVSS 9.8), lappet 28.
Målet var å stjele et bredt spekter av legitimasjon, inkludert AWS nøkler, GitHub og GitLab tokens, OpenAI og Google API nøkler, Stripe nøkler, e posttjenesteleverandører, SSH privatnøkler og databaselegitimasjon.
Kampanjen spredte seg langt utover den opprinnelige oppdagelsen, med estimater som viser mellom 6.100 og 16.000 matchende arbeidsflytfiler på GitHub, noe som indikerer et mye større, koordinert angrep på tvers av fler...
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutten av juli 2026 avslørte sikkerhetsforskere en forsyningskjede- og CI/CD-misbrukskampanje av enestående omfang. Angripere kompromitterte en PHP-utviklers konto på Packagist, hovedregisteret for PHP-pakker, og brukte den til å injisere hundrevis av ondsinnede GitHub Actions-arbeidsflytfiler i åpen kildekode-repositories. Målet var ikke å infisere PHP-kode, men å gjøre GitHub sine egne gratis CI/CD-løpere om til en distribuert, engangsbotnet for å utnytte en kritisk sårbarhet i cPanel og WHM, det mye brukte webhotellkontrollpanelprogramvaren .
Her er en gjennomgang av kampanjen, sårbarheten den utnyttet, hva som ble stjålet, den sanne skalaen av operasjonen og forsvarene du må implementere nå.
Kampanjen: Gjør GitHub-løpere om til en botnet
Inngangsvektor: En kompromittert Packagist-konto
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "GitHub Actions misbrukt i massivt angrep: 583 ondsinnede arbeidsflyter utnyttet cPanel-sårbarhet"?
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti...
What are the key points to validate first?
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti... Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbotnet for å målrette CVE 2026 41940, en pre autentiseringsomgåelse i cPanel og WHM (CVSS 9.8), lappet 28.
What should I do next in practice?
Målet var å stjele et bredt spekter av legitimasjon, inkludert AWS nøkler, GitHub og GitLab tokens, OpenAI og Google API nøkler, Stripe nøkler, e posttjenesteleverandører, SSH privatnøkler og databaselegitimasjon.
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti... Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbo...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti...
Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbotnet for å målrette CVE 2026 41940, en pre autentiseringsomgåelse i cPanel og WHM (CVSS 9.8), lappet 28.
Målet var å stjele et bredt spekter av legitimasjon, inkludert AWS nøkler, GitHub og GitLab tokens, OpenAI og Google API nøkler, Stripe nøkler, e posttjenesteleverandører, SSH privatnøkler og databaselegitimasjon.
Kampanjen spredte seg langt utover den opprinnelige oppdagelsen, med estimater som viser mellom 6.100 og 16.000 matchende arbeidsflytfiler på GitHub, noe som indikerer et mye større, koordinert angrep på tvers av fler...
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutten av juli 2026 avslørte sikkerhetsforskere en forsyningskjede- og CI/CD-misbrukskampanje av enestående omfang. Angripere kompromitterte en PHP-utviklers konto på Packagist, hovedregisteret for PHP-pakker, og brukte den til å injisere hundrevis av ondsinnede GitHub Actions-arbeidsflytfiler i åpen kildekode-repositories. Målet var ikke å infisere PHP-kode, men å gjøre GitHub sine egne gratis CI/CD-løpere om til en distribuert, engangsbotnet for å utnytte en kritisk sårbarhet i cPanel og WHM, det mye brukte webhotellkontrollpanelprogramvaren .
Her er en gjennomgang av kampanjen, sårbarheten den utnyttet, hva som ble stjålet, den sanne skalaen av operasjonen og forsvarene du må implementere nå.
Kampanjen: Gjør GitHub-løpere om til en botnet
Inngangsvektor: En kompromittert Packagist-konto
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "GitHub Actions misbrukt i massivt angrep: 583 ondsinnede arbeidsflyter utnyttet cPanel-sårbarhet"?
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti...
What are the key points to validate first?
I slutten av juli 2026 ble en omfattende forsyningskjedeangrep avslørt der angripere kompromitterte Packagist kontoen til PHP utvikleren dinushchathurya og injiserte 583 ondsinnede GitHub Actions arbeidsflytfiler i ti... Angriperne brukte GitHub Actions' gratis CI/CD løpere som en distribuert skanne og utnyttelsesbotnet for å målrette CVE 2026 41940, en pre autentiseringsomgåelse i cPanel og WHM (CVSS 9.8), lappet 28.
What should I do next in practice?
Målet var å stjele et bredt spekter av legitimasjon, inkludert AWS nøkler, GitHub og GitLab tokens, OpenAI og Google API nøkler, Stripe nøkler, e posttjenesteleverandører, SSH privatnøkler og databaselegitimasjon.
Angrepet begynte med kompromitteringen av Packagist-kontoen til den legitime PHP- og DevOps-utvikleren dinushchathurya en gang mellom 12. og 13. juli 2026 . Packagist er designet for automatisk å synkronisere pakkeversjoner fra kilderepositories. Denne funksjonen ble misbrukt: angriperne presset ondsinnede 'dev-main' utviklingsversjoner av alle ti pakker knyttet til utviklerens konto, som Packagist deretter tok opp og gjorde tilgjengelig . De ti pakkene var legitime PHP-biblioteker, men angrepet rettet seg ikke mot brukerne deres gjennom PHP-kode.
583 ondsinnede arbeidsflytfiler
Kjernen i angrepet var ikke i PHP-koden i seg selv; PHP-bibliotekene forble ufarlige uten installasjonskoblinger eller ondsinnet nettverksaktivitet . I stedet injiserte angriperne 583 ondsinnede GitHub Actions-arbeidsflytfiler (.github/workflows/*.yml) i utviklerens kilderepositories. Hver berørte pakkeversjon inneholdt mellom 55 og 62 av disse arbeidsflytfilene . GitHub Actions-arbeidsflyter er YAML-filer som definerer automatiserte oppgaver, som å kjøre tester eller distribuere kode. Angriperne gjenbrukte denne legitime automatiseringsinfrastrukturen.
Den ondsinnede mekanismen
Når en fork eller kopi av det kompromitterte repositoryet utløste en arbeidsflyt (f.eks. ved en push-hendelse), instruerte den ondsinnede .yml-filen GitHub-hostede Ubuntu-løperen til å :
Oppdage løperens CPU-arkitektur.
laste ned en skanne- og utnyttelsesnyttelast fra en kommando-og-kontroll-server (C2) på IP-adressen 43[.]228[.]157[.]68.
skanne internett etter systemer som kjører cPanel- og WHM-tjenester.
automatisk utnytte de identifiserte systemene ved hjelp av sårbarheten beskrevet nedenfor.
Eksfiltrere stjålne data tilbake til C2-serveren.
Dette gjorde effektivt enhver utløst arbeidsflyt om til en skanne- og utnyttelsesnode, ved å bruke GitHub sin gratis infrastruktur som en distribuert plattform for angrepet .
Sårbarheten: CVE-2026-41940
Målet for kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel og WebHost Manager (WHM) .
Type: Forhåndsgodkjenningsomgåelse for autentisering .
Alvorlighetsgrad: CVSS 9.8 (kritisk) .
Grunnårsak: En CRLF-injeksjonssårbarhet (Carriage Return Line Feed) i cpsrvd basic-autentiseringsbehandleren . En uautentisert angriper kunne sende en skreddersydd Authorization-header som inneholdt rå linjeskifttegn. Dette tillot dem å injisere vilkårlige egenskaper i en øktfil, for eksempel user=root og hasroot=1, noe som effektivt ga dem root-nivå administrativ tilgang til WHM-grensesnittet uten et gyldig passord .
Lappedato: cPanel ga ut en sikkerhetsoppdatering 28. april 2026. Dette betyr at angripere hadde en fungerende patch å analysere i flere måneder før denne kampanjen begynte.
Hva ble stjålet
Når utnyttelsen lyktes på en kompromittert cPanel/WHM-server, var den post-utnyttelsesnyttelasten designet for å høste et bredt spekter av legitimasjon og hemmeligheter. Hovedmålene inkluderte :
Skylegitimasjon: Amazon Web Services (AWS)-nøkler.
Tyveriet av et så bredt spekter av legitimasjon indikerer et datanøytralt, opportunistisk grep etter alle verdifulle tilgangstokener som finnes på den kompromitterte serveren .
Kampanjens omfang: Tusenvis av flere repositories kompromittert
De 583 arbeidsflytfilene i de 10 Packagist-pakkene var bare den første oppdagelsen. Ved å dreie på angriperindikatorer som et delt DNSHook-tilbakeringingsdomene og kodegjenbruksmønstre, avdekket forskere en mye større operasjon :
~6.100 arbeidsflytfiler var direkte knyttet til den samme innledende angriperinfrastrukturen .
~15.000 til 16.000 arbeidsflytfiler på GitHub ble funnet å matche relaterte mønstre fra kampanjen .
Dette enorme avviket tyder sterkt på at angriperne kompromitterte mange flere utviklerkontoer og repositories utover den ene dinushchathurya-kontoen . Kampanjen var ikke en enkeltpunktsfeil, men en koordinert, flerkontooperasjon. The Hacker News rapporterte om et separat, tidligere Packagist-forsyningskjedeangrep i mai 2026 som kompromitterte 8 pakker med relaterte ondsinnede elementer , noe som ytterligere understreker økosystemets sårbarhet.
Pågående risiko: Hvorfor kampanjen sannsynligvis fortsatt er aktiv
Kampanjen utgjør en vedvarende trussel fordi angriperens infrastruktur ikke er helt nøytralisert. Kampanjen kan fortsette gjennom :
Forks og speil: Ondsinnede arbeidsflytfiler kan vedvare i forkede eller speilede kopier av de kompromitterte repositories.
Bufrede øyeblikksbilder: GitHub sine egne cacher kan inneholde de ondsinnede arbeidsflytversjonene.
Stjålne legitimasjonsopplysninger: Legitimasjonen som allerede er eksfiltrert, forblir i angriperens besittelse og kan brukes til lateral bevegelse eller fremtidige angrep.
Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) kan fortsatt være i drift og aktivt motta data .
Selv om den opprinnelige utviklerens Packagist-konto er suspendert, betyr den enorme mengden matchende arbeidsflytfiler (opptil ~16.000) at operasjonen har et bredt fotavtrykk som er vanskelig å utrydde fullstendig .
Nødvendige defensive tiltak
Basert på den publiserte analysen bør organisasjoner og utviklere umiddelbart iverksette følgende tiltak :
Lapp cPanel/WHM umiddelbart: CVE-2026-41940 ble lappet 28. april 2026. Enhver cPanel- eller WHM-installasjon (versjoner etter 11.40) som ikke er oppdatert, er trivielt utnyttbar av uautentiserte eksterne angripere. Dette er det viktigste enkelttiltaket.
Revidere alle GitHub Actions-arbeidsflyter: Gå gjennom hver arbeidsflyt-YAML-fil i repositories, spesielt de som:
Laster ned og kjører eksterne binærfiler.
Gjør utgående nettverkstilkoblinger.
Kjøres på push- eller workflow_dispatch-utløsere uten manuell gjennomgang.
Finnes i utviklings- eller funksjonsgrener som automatisk kan synkroniseres av en pakkebehandler.
Roter all eksponert legitimasjon: Anta at all legitimasjon som finnes på en kompromittert cPanel/WHM-server er stjålet. Dette inkluderer, men er ikke begrenset til:
Sky-leverandørnøkler (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nøkler og databasepassord.
Kildekodeadministrasjonstokens (GitHub, GitLab).
Sjekk etter kjente kompromissindikatorer (IOC-er): Søk i logger etter nettverkstilkoblinger til angriperens C2-IP-adresse (43[.]228[.]157[.]68) og det kjente DNSHook-tilbakeringingsdomenet .
Styrk repositories og pakkebehandling:
Aktiver grenbeskyttelsesregler på alle utviklingsgrener.
Krev signerte forpliktelser.
Unngå automatisk synkronisering av pakkeregistre (som Packagist) direkte fra repository-grener uten et gjennomgangstrinn .
Gjennomgå Packagist-utviklingsversjoner: Når du reviderer avhengigheter, undersøk spesifikt utviklingsversjoner (dev-master, dev-main) for uventede .github/workflows/-filer, ettersom PHP-koden i seg selv kan være ren mens angrepet lever utelukkende i CI/CD-konfigurasjonen .
Angrepet begynte med kompromitteringen av Packagist-kontoen til den legitime PHP- og DevOps-utvikleren dinushchathurya en gang mellom 12. og 13. juli 2026 . Packagist er designet for automatisk å synkronisere pakkeversjoner fra kilderepositories. Denne funksjonen ble misbrukt: angriperne presset ondsinnede 'dev-main' utviklingsversjoner av alle ti pakker knyttet til utviklerens konto, som Packagist deretter tok opp og gjorde tilgjengelig . De ti pakkene var legitime PHP-biblioteker, men angrepet rettet seg ikke mot brukerne deres gjennom PHP-kode.
583 ondsinnede arbeidsflytfiler
Kjernen i angrepet var ikke i PHP-koden i seg selv; PHP-bibliotekene forble ufarlige uten installasjonskoblinger eller ondsinnet nettverksaktivitet . I stedet injiserte angriperne 583 ondsinnede GitHub Actions-arbeidsflytfiler (.github/workflows/*.yml) i utviklerens kilderepositories. Hver berørte pakkeversjon inneholdt mellom 55 og 62 av disse arbeidsflytfilene . GitHub Actions-arbeidsflyter er YAML-filer som definerer automatiserte oppgaver, som å kjøre tester eller distribuere kode. Angriperne gjenbrukte denne legitime automatiseringsinfrastrukturen.
Den ondsinnede mekanismen
Når en fork eller kopi av det kompromitterte repositoryet utløste en arbeidsflyt (f.eks. ved en push-hendelse), instruerte den ondsinnede .yml-filen GitHub-hostede Ubuntu-løperen til å :
Oppdage løperens CPU-arkitektur.
laste ned en skanne- og utnyttelsesnyttelast fra en kommando-og-kontroll-server (C2) på IP-adressen 43[.]228[.]157[.]68.
skanne internett etter systemer som kjører cPanel- og WHM-tjenester.
automatisk utnytte de identifiserte systemene ved hjelp av sårbarheten beskrevet nedenfor.
Eksfiltrere stjålne data tilbake til C2-serveren.
Dette gjorde effektivt enhver utløst arbeidsflyt om til en skanne- og utnyttelsesnode, ved å bruke GitHub sin gratis infrastruktur som en distribuert plattform for angrepet .
Sårbarheten: CVE-2026-41940
Målet for kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel og WebHost Manager (WHM) .
Type: Forhåndsgodkjenningsomgåelse for autentisering .
Alvorlighetsgrad: CVSS 9.8 (kritisk) .
Grunnårsak: En CRLF-injeksjonssårbarhet (Carriage Return Line Feed) i cpsrvd basic-autentiseringsbehandleren . En uautentisert angriper kunne sende en skreddersydd Authorization-header som inneholdt rå linjeskifttegn. Dette tillot dem å injisere vilkårlige egenskaper i en øktfil, for eksempel user=root og hasroot=1, noe som effektivt ga dem root-nivå administrativ tilgang til WHM-grensesnittet uten et gyldig passord .
Lappedato: cPanel ga ut en sikkerhetsoppdatering 28. april 2026. Dette betyr at angripere hadde en fungerende patch å analysere i flere måneder før denne kampanjen begynte.
Hva ble stjålet
Når utnyttelsen lyktes på en kompromittert cPanel/WHM-server, var den post-utnyttelsesnyttelasten designet for å høste et bredt spekter av legitimasjon og hemmeligheter. Hovedmålene inkluderte :
Skylegitimasjon: Amazon Web Services (AWS)-nøkler.
Tyveriet av et så bredt spekter av legitimasjon indikerer et datanøytralt, opportunistisk grep etter alle verdifulle tilgangstokener som finnes på den kompromitterte serveren .
Kampanjens omfang: Tusenvis av flere repositories kompromittert
De 583 arbeidsflytfilene i de 10 Packagist-pakkene var bare den første oppdagelsen. Ved å dreie på angriperindikatorer som et delt DNSHook-tilbakeringingsdomene og kodegjenbruksmønstre, avdekket forskere en mye større operasjon :
~6.100 arbeidsflytfiler var direkte knyttet til den samme innledende angriperinfrastrukturen .
~15.000 til 16.000 arbeidsflytfiler på GitHub ble funnet å matche relaterte mønstre fra kampanjen .
Dette enorme avviket tyder sterkt på at angriperne kompromitterte mange flere utviklerkontoer og repositories utover den ene dinushchathurya-kontoen . Kampanjen var ikke en enkeltpunktsfeil, men en koordinert, flerkontooperasjon. The Hacker News rapporterte om et separat, tidligere Packagist-forsyningskjedeangrep i mai 2026 som kompromitterte 8 pakker med relaterte ondsinnede elementer , noe som ytterligere understreker økosystemets sårbarhet.
Pågående risiko: Hvorfor kampanjen sannsynligvis fortsatt er aktiv
Kampanjen utgjør en vedvarende trussel fordi angriperens infrastruktur ikke er helt nøytralisert. Kampanjen kan fortsette gjennom :
Forks og speil: Ondsinnede arbeidsflytfiler kan vedvare i forkede eller speilede kopier av de kompromitterte repositories.
Bufrede øyeblikksbilder: GitHub sine egne cacher kan inneholde de ondsinnede arbeidsflytversjonene.
Stjålne legitimasjonsopplysninger: Legitimasjonen som allerede er eksfiltrert, forblir i angriperens besittelse og kan brukes til lateral bevegelse eller fremtidige angrep.
Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) kan fortsatt være i drift og aktivt motta data .
Selv om den opprinnelige utviklerens Packagist-konto er suspendert, betyr den enorme mengden matchende arbeidsflytfiler (opptil ~16.000) at operasjonen har et bredt fotavtrykk som er vanskelig å utrydde fullstendig .
Nødvendige defensive tiltak
Basert på den publiserte analysen bør organisasjoner og utviklere umiddelbart iverksette følgende tiltak :
Lapp cPanel/WHM umiddelbart: CVE-2026-41940 ble lappet 28. april 2026. Enhver cPanel- eller WHM-installasjon (versjoner etter 11.40) som ikke er oppdatert, er trivielt utnyttbar av uautentiserte eksterne angripere. Dette er det viktigste enkelttiltaket.
Revidere alle GitHub Actions-arbeidsflyter: Gå gjennom hver arbeidsflyt-YAML-fil i repositories, spesielt de som:
Laster ned og kjører eksterne binærfiler.
Gjør utgående nettverkstilkoblinger.
Kjøres på push- eller workflow_dispatch-utløsere uten manuell gjennomgang.
Finnes i utviklings- eller funksjonsgrener som automatisk kan synkroniseres av en pakkebehandler.
Roter all eksponert legitimasjon: Anta at all legitimasjon som finnes på en kompromittert cPanel/WHM-server er stjålet. Dette inkluderer, men er ikke begrenset til:
Sky-leverandørnøkler (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nøkler og databasepassord.
Kildekodeadministrasjonstokens (GitHub, GitLab).
Sjekk etter kjente kompromissindikatorer (IOC-er): Søk i logger etter nettverkstilkoblinger til angriperens C2-IP-adresse (43[.]228[.]157[.]68) og det kjente DNSHook-tilbakeringingsdomenet .
Styrk repositories og pakkebehandling:
Aktiver grenbeskyttelsesregler på alle utviklingsgrener.
Krev signerte forpliktelser.
Unngå automatisk synkronisering av pakkeregistre (som Packagist) direkte fra repository-grener uten et gjennomgangstrinn .
Gjennomgå Packagist-utviklingsversjoner: Når du reviderer avhengigheter, undersøk spesifikt utviklingsversjoner (dev-master, dev-main) for uventede .github/workflows/-filer, ettersom PHP-koden i seg selv kan være ren mens angrepet lever utelukkende i CI/CD-konfigurasjonen .
