GitHub Actions misbrukt i massivt angrep: 583 ondsinnede arbeidsflyter utnyttet cPanel-sårbarhet

I slutten av juli 2026 avslørte sikkerhetsforskere en forsyningskjede- og CI/CD-misbrukskampanje av enestående omfang. Angripere kompromitterte en PHP-utviklers konto på Packagist, hovedregisteret for PHP-pakker, og brukte den til å injisere hundrevis av ondsinnede GitHub Actions-arbeidsflytfiler i åpen kildekode-repositories. Målet var ikke å infisere PHP-kode, men å gjøre GitHub sine egne gratis CI/CD-løpere om til en distribuert, engangsbotnet for å utnytte en kritisk sårbarhet i cPanel og WHM, det mye brukte webhotellkontrollpanelprogramvaren .

Her er en gjennomgang av kampanjen, sårbarheten den utnyttet, hva som ble stjålet, den sanne skalaen av operasjonen og forsvarene du må implementere nå.

Kampanjen: Gjør GitHub-løpere om til en botnet

Inngangsvektor: En kompromittert Packagist-konto

Angrepet begynte med kompromitteringen av Packagist-kontoen til den legitime PHP- og DevOps-utvikleren dinushchathurya en gang mellom 12. og 13. juli 2026 . Packagist er designet for automatisk å synkronisere pakkeversjoner fra kilderepositories. Denne funksjonen ble misbrukt: angriperne presset ondsinnede 'dev-main' utviklingsversjoner av alle ti pakker knyttet til utviklerens konto, som Packagist deretter tok opp og gjorde tilgjengelig . De ti pakkene var legitime PHP-biblioteker, men angrepet rettet seg ikke mot brukerne deres gjennom PHP-kode.

583 ondsinnede arbeidsflytfiler

Kjernen i angrepet var ikke i PHP-koden i seg selv; PHP-bibliotekene forble ufarlige uten installasjonskoblinger eller ondsinnet nettverksaktivitet . I stedet injiserte angriperne 583 ondsinnede GitHub Actions-arbeidsflytfiler (.github/workflows/*.yml) i utviklerens kilderepositories. Hver berørte pakkeversjon inneholdt mellom 55 og 62 av disse arbeidsflytfilene . GitHub Actions-arbeidsflyter er YAML-filer som definerer automatiserte oppgaver, som å kjøre tester eller distribuere kode. Angriperne gjenbrukte denne legitime automatiseringsinfrastrukturen.

Den ondsinnede mekanismen

Når en fork eller kopi av det kompromitterte repositoryet utløste en arbeidsflyt (f.eks. ved en push-hendelse), instruerte den ondsinnede .yml-filen GitHub-hostede Ubuntu-løperen til å :

1. Oppdage løperens CPU-arkitektur.
2. laste ned en skanne- og utnyttelsesnyttelast fra en kommando-og-kontroll-server (C2) på IP-adressen 43[.]228[.]157[.]68.
3. skanne internett etter systemer som kjører cPanel- og WHM-tjenester.
4. automatisk utnytte de identifiserte systemene ved hjelp av sårbarheten beskrevet nedenfor.
5. Eksfiltrere stjålne data tilbake til C2-serveren.

Dette gjorde effektivt enhver utløst arbeidsflyt om til en skanne- og utnyttelsesnode, ved å bruke GitHub sin gratis infrastruktur som en distribuert plattform for angrepet .

Sårbarheten: CVE-2026-41940

Målet for kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel og WebHost Manager (WHM) .

• Type: Forhåndsgodkjenningsomgåelse for autentisering .
• Alvorlighetsgrad: CVSS 9.8 (kritisk) .
• Grunnårsak: En CRLF-injeksjonssårbarhet (Carriage Return Line Feed) i cpsrvd basic-autentiseringsbehandleren . En uautentisert angriper kunne sende en skreddersydd Authorization-header som inneholdt rå linjeskifttegn. Dette tillot dem å injisere vilkårlige egenskaper i en øktfil, for eksempel user=root og hasroot=1, noe som effektivt ga dem root-nivå administrativ tilgang til WHM-grensesnittet uten et gyldig passord .
• Lappedato: cPanel ga ut en sikkerhetsoppdatering 28. april 2026 . Dette betyr at angripere hadde en fungerende patch å analysere i flere måneder før denne kampanjen begynte.

Hva ble stjålet

Når utnyttelsen lyktes på en kompromittert cPanel/WHM-server, var den post-utnyttelsesnyttelasten designet for å høste et bredt spekter av legitimasjon og hemmeligheter. Hovedmålene inkluderte :

• Skylegitimasjon: Amazon Web Services (AWS)-nøkler.
• Kildekontrolltokens: GitHub-tokens, GitLab-tokens.
• API-nøkler: OpenAI, Google API-nøkler.
• Betalingsbehandling: Stripe-nøkler.
• E-posttjenesteleverandører: (f.eks. Mailgun, SendGrid).
• Infrastruktur: SSH-privatnøkler, databaselegitimasjon.
• Konfigurasjonsdata: Git-fjernkonfigurasjoner.

Tyveriet av et så bredt spekter av legitimasjon indikerer et datanøytralt, opportunistisk grep etter alle verdifulle tilgangstokener som finnes på den kompromitterte serveren .

Kampanjens omfang: Tusenvis av flere repositories kompromittert

De 583 arbeidsflytfilene i de 10 Packagist-pakkene var bare den første oppdagelsen. Ved å dreie på angriperindikatorer som et delt DNSHook-tilbakeringingsdomene og kodegjenbruksmønstre, avdekket forskere en mye større operasjon :

• ~6.100 arbeidsflytfiler var direkte knyttet til den samme innledende angriperinfrastrukturen .
• ~15.000 til 16.000 arbeidsflytfiler på GitHub ble funnet å matche relaterte mønstre fra kampanjen .

Dette enorme avviket tyder sterkt på at angriperne kompromitterte mange flere utviklerkontoer og repositories utover den ene dinushchathurya-kontoen . Kampanjen var ikke en enkeltpunktsfeil, men en koordinert, flerkontooperasjon. The Hacker News rapporterte om et separat, tidligere Packagist-forsyningskjedeangrep i mai 2026 som kompromitterte 8 pakker med relaterte ondsinnede elementer , noe som ytterligere understreker økosystemets sårbarhet.

Pågående risiko: Hvorfor kampanjen sannsynligvis fortsatt er aktiv

Kampanjen utgjør en vedvarende trussel fordi angriperens infrastruktur ikke er helt nøytralisert. Kampanjen kan fortsette gjennom :

• Forks og speil: Ondsinnede arbeidsflytfiler kan vedvare i forkede eller speilede kopier av de kompromitterte repositories.
• Bufrede øyeblikksbilder: GitHub sine egne cacher kan inneholde de ondsinnede arbeidsflytversjonene.
• Stjålne legitimasjonsopplysninger: Legitimasjonen som allerede er eksfiltrert, forblir i angriperens besittelse og kan brukes til lateral bevegelse eller fremtidige angrep.
• Overlevende C2-infrastruktur: C2-serveren (43[.]228[.]157[.]68) kan fortsatt være i drift og aktivt motta data .

Selv om den opprinnelige utviklerens Packagist-konto er suspendert, betyr den enorme mengden matchende arbeidsflytfiler (opptil ~16.000) at operasjonen har et bredt fotavtrykk som er vanskelig å utrydde fullstendig .

Nødvendige defensive tiltak

Basert på den publiserte analysen bør organisasjoner og utviklere umiddelbart iverksette følgende tiltak :

1. Lapp cPanel/WHM umiddelbart: CVE-2026-41940 ble lappet 28. april 2026. Enhver cPanel- eller WHM-installasjon (versjoner etter 11.40) som ikke er oppdatert, er trivielt utnyttbar av uautentiserte eksterne angripere. Dette er det viktigste enkelttiltaket.
2. Revidere alle GitHub Actions-arbeidsflyter: Gå gjennom hver arbeidsflyt-YAML-fil i repositories, spesielt de som:
   • Laster ned og kjører eksterne binærfiler.
   • Gjør utgående nettverkstilkoblinger.
   • Kjøres på push- eller workflow_dispatch-utløsere uten manuell gjennomgang.
   • Finnes i utviklings- eller funksjonsgrener som automatisk kan synkroniseres av en pakkebehandler.
3. Roter all eksponert legitimasjon: Anta at all legitimasjon som finnes på en kompromittert cPanel/WHM-server er stjålet. Dette inkluderer, men er ikke begrenset til:
   • Sky-leverandørnøkler (AWS, GCP, Azure).
   • API-tokens (OpenAI, Google, Stripe).
   • SSH-nøkler og databasepassord.
   • Kildekodeadministrasjonstokens (GitHub, GitLab).
4. Sjekk etter kjente kompromissindikatorer (IOC-er): Søk i logger etter nettverkstilkoblinger til angriperens C2-IP-adresse (43[.]228[.]157[.]68) og det kjente DNSHook-tilbakeringingsdomenet .
5. Styrk repositories og pakkebehandling:
   • Aktiver grenbeskyttelsesregler på alle utviklingsgrener.
   • Krev signerte forpliktelser.
   • Unngå automatisk synkronisering av pakkeregistre (som Packagist) direkte fra repository-grener uten et gjennomgangstrinn .
6. Gjennomgå Packagist-utviklingsversjoner: Når du reviderer avhengigheter, undersøk spesifikt utviklingsversjoner (dev-master, dev-main) for uventede .github/workflows/-filer, ettersom PHP-koden i seg selv kan være ren mens angrepet lever utelukkende i CI/CD-konfigurasjonen .