Ataque em larga escala transforma GitHub Actions em botnet para explorar falha crítica no cPanel

No final de julho de 2026, pesquisadores de segurança revelaram uma campanha de ataque à cadeia de suprimentos e abuso de CI/CD de proporções inéditas. Os atacantes comprometeram a conta de um desenvolvedor PHP no Packagist, o principal repositório de pacotes PHP, e a usaram para injetar centenas de arquivos de workflow maliciosos do GitHub Actions em repositórios de código aberto. O objetivo não era infectar o código PHP, mas transformar os próprios runners gratuitos de CI/CD do GitHub em uma botnet distribuída e descartável para explorar uma vulnerabilidade crítica no cPanel e WHM, o amplamente utilizado painel de controle de hospedagem web .

Aqui está uma análise detalhada da campanha, da vulnerabilidade explorada, do que foi roubado, da verdadeira escala da operação e das defesas que você precisa implementar agora.

A Campanha: Transformando Runners do GitHub em uma Botnet

Vetor de Entrada: Uma Conta Comprometida no Packagist

O ataque começou com o comprometimento da conta Packagist do desenvolvedor PHP e DevOps, dinushchathurya, entre 12 e 13 de julho de 2026 . O Packagist é projetado para sincronizar automaticamente as versões dos pacotes a partir de seus repositórios de origem. Essa funcionalidade foi usada como arma: os atacantes enviaram versões de desenvolvimento "dev-main" maliciosas de todos os dez pacotes associados à conta do desenvolvedor, que o Packagist então ingeriu e disponibilizou . Os dez pacotes eram bibliotecas PHP legítimas, mas o ataque não visava seus usuários através do código PHP.

583 Arquivos de Workflow Maliciosos

O núcleo do ataque não estava no código PHP; as bibliotecas PHP permaneceram benignas, sem hooks de instalação ou atividade de rede maliciosa . Em vez disso, os atacantes injetaram 583 arquivos de workflow maliciosos do GitHub Actions (.github/workflows/*.yml) nos repositórios de origem do desenvolvedor. Cada versão de pacote afetado continha entre 55 e 62 desses arquivos de workflow . Workflows do GitHub Actions são arquivos YAML que definem tarefas automatizadas, como executar testes ou implantar código. Os atacantes reaproveitaram essa infraestrutura de automação legítima.

O Mecanismo Malicioso

Assim que um fork ou cópia do repositório comprometido acionava um workflow (por exemplo, em um evento push), o arquivo .yml malicioso instruía o runner Ubuntu hospedado pelo GitHub a :

1. Detectar a arquitetura da CPU do runner.
2. Baixar um payload de varredura e exploração de um servidor de comando e controle (C2) no endereço IP 43[.]228[.]157[.]68.
3. Escanear a internet em busca de sistemas executando serviços cPanel e WHM.
4. Explorar automaticamente os sistemas identificados usando a vulnerabilidade detalhada abaixo.
5. Exfiltrar os dados roubados de volta para o servidor C2.

Isso efetivamente transformou cada workflow acionado em um nó de varredura e exploração, usando a infraestrutura gratuita do GitHub como uma plataforma distribuída para o ataque .

A Vulnerabilidade: CVE-2026-41940

O alvo da campanha era o CVE-2026-41940, uma vulnerabilidade crítica no cPanel e WebHost Manager (WHM) .

• Tipo: Bypass de autenticação pré-login .
• Gravidade: CVSS 9.8 (Crítico) .
• Causa Raiz: Uma vulnerabilidade de injeção CRLF (Carriage Return Line Feed) no manipulador de autenticação básica do cpsrvd . Um atacante não autenticado poderia enviar um cabeçalho Authorization manipulado contendo caracteres de nova linha brutos. Isso permitia injetar propriedades arbitrárias em um arquivo de sessão, como user=root e hasroot=1, concedendo efetivamente acesso administrativo de nível root à interface WHM sem uma senha válida .
• Data do Patch: A cPanel lançou uma atualização de segurança em 28 de abril de 2026 . Isso significa que os atacantes tiveram um patch funcional para analisar por vários meses antes do início desta campanha.

O Que Foi Roubado

Assim que a exploração era bem-sucedida em um servidor cPanel/WHM comprometido, o payload pós-exploração foi projetado para colher uma ampla gama de credenciais e segredos. Os alvos primários incluíam :

• Credenciais de Nuvem: Chaves da Amazon Web Services (AWS).
• Tokens de Controle de Versão: Tokens do GitHub, tokens do GitLab.
• Chaves de API: Chaves da OpenAI, Google.
• Processamento de Pagamentos: Chaves do Stripe.
• Credenciais de Serviço de E-mail: (por exemplo, Mailgun, SendGrid).
• Infraestrutura: Chaves privadas SSH, credenciais de banco de dados.
• Dados de Configuração: Configurações remotas do Git.

O roubo de uma gama tão ampla de credenciais indica uma captura oportunista e indiferente de quaisquer tokens de acesso valiosos presentes no servidor comprometido .

Escala da Campanha: Milhares de Repositórios a Mais Comprometidos

Os 583 arquivos de workflow nos 10 pacotes Packagist foram apenas a descoberta inicial. Ao fazer o pivô em indicadores do atacante, como um domínio de callback DNSHook compartilhado e padrões de reutilização de código, os pesquisadores descobriram uma operação muito maior :

• ~6.100 arquivos de workflow foram diretamente ligados à mesma infraestrutura inicial do atacante .
• ~15.000 a 16.000 arquivos de workflow no GitHub foram encontrados correspondendo a padrões relacionados da campanha .

Essa enorme discrepância sugere fortemente que os atacantes comprometeram muitas mais contas de desenvolvedores e repositórios além da única conta dinushchathurya . A campanha não foi uma falha de ponto único, mas uma operação coordenada e multi-conta. O The Hacker News relatou um ataque separado e anterior à cadeia de suprimentos do Packagist em maio de 2026 que comprometeu 8 pacotes com elementos maliciosos relacionados , destacando ainda mais a vulnerabilidade do ecossistema.

Risco Contínuo: Por Que a Campanha Provavelmente Ainda Está Ativa

A campanha representa uma ameaça persistente porque a infraestrutura do atacante não está totalmente neutralizada. A campanha pode continuar através de :

• Forks e Espelhos: Arquivos de workflow maliciosos podem persistir em cópias bifurcadas ou espelhadas dos repositórios comprometidos.
• Snapshots em Cache: Os próprios caches do GitHub podem conter as versões de workflow maliciosas.
• Credenciais Roubadas: As credenciais já exfiltradas permanecem na posse do atacante e podem ser usadas para movimento lateral ou ataques futuros.
• Infraestrutura C2 Sobrevivente: O servidor C2 (43[.]228[.]157[.]68) pode ainda estar operacional e recebendo dados ativamente .

Embora a conta original do desenvolvedor no Packagist tenha sido suspensa, a escala massiva de arquivos de workflow correspondentes (até ~16.000) significa que a operação tem uma pegada ampla que é difícil de erradicar completamente .

Ações Defensivas Requeridas

Com base na análise publicada, as organizações e desenvolvedores devem tomar as seguintes ações imediatamente :

1. Aplicar Patch no cPanel/WHM Imediatamente: O CVE-2026-41940 foi corrigido em 28 de abril de 2026. Qualquer instalação do cPanel ou WHM (versões posteriores a 11.40) que não esteja atualizada é trivialmente explorável por atacantes remotos não autenticados. Este é o passo mais importante.
2. Auditar Todos os Workflows do GitHub Actions: Revise cada arquivo de workflow YAML em seus repositórios, especialmente aqueles que:
   • Baixam e executam binários externos.
   • Fazem conexões de rede de saída.
   • São executados em gatilhos push ou workflow_dispatch sem revisão manual.
   • Estão presentes em branches de desenvolvimento ou de funcionalidades que podem ser sincronizadas automaticamente por um gerenciador de pacotes.
3. Rodar Todas as Credenciais Expostas: Presuma que qualquer credencial presente em um servidor cPanel/WHM comprometido foi roubada. Isso inclui, mas não se limita a:
   • Chaves de provedor de nuvem (AWS, GCP, Azure).
   • Tokens de API (OpenAI, Google, Stripe).
   • Chaves SSH e senhas de banco de dados.
   • Tokens de gerenciamento de código-fonte (GitHub, GitLab).
4. Verificar Indicadores de Comprometimento (IOCs) Conhecidos: Pesquise em seus logs por conexões de rede para o IP C2 do atacante (43[.]228[.]157[.]68) e o domínio de callback DNSHook conhecido .
5. Endurecer Repositórios e Gerenciamento de Pacotes:
   • Ative regras de proteção de branch em todos os branches de desenvolvimento.
   • Exija commits assinados.
   • Evite sincronizar automaticamente registros de pacotes (como Packagist) diretamente de branches de repositório sem uma etapa de revisão .
6. Revisar Versões de Desenvolvimento do Packagist: Ao auditar dependências, examine especificamente as versões de desenvolvimento (dev-master, dev-main) em busca de arquivos .github/workflows/ inesperados, pois o código PHP em si pode estar limpo enquanto o ataque vive inteiramente na configuração de CI/CD .