Ataque em larga escala transforma GitHub Actions em botnet para explorar falha crítica no cPanel
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de... Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para...
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de...
Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para varrer a internet em busca de servidores cPanel e WHM vulneráveis ao CVE 2026 41940.
A vulnerabilidade CVE 2026 41940 (CVSS 9.8) é um bypass de autenticação pré login no cPanel/WHM, corrigido em 28 de abril de 2026, que permite acesso root total sem senha.
Dados roubados incluem credenciais AWS, tokens do GitHub e GitLab, chaves de API (OpenAI, Google, Stripe), chaves SSH, credenciais de banco de dados e e mail.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
No final de julho de 2026, pesquisadores de segurança revelaram uma campanha de ataque à cadeia de suprimentos e abuso de CI/CD de proporções inéditas. Os atacantes comprometeram a conta de um desenvolvedor PHP no Packagist, o principal repositório de pacotes PHP, e a usaram para injetar centenas de arquivos de workflow maliciosos do GitHub Actions em repositórios de código aberto. O objetivo não era infectar o código PHP, mas transformar os próprios runners gratuitos de CI/CD do GitHub em uma botnet distribuída e descartável para explorar uma vulnerabilidade crítica no cPanel e WHM, o amplamente utilizado painel de controle de hospedagem web .
Aqui está uma análise detalhada da campanha, da vulnerabilidade explorada, do que foi roubado, da verdadeira escala da operação e das defesas que você precisa implementar agora.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Ataque em larga escala transforma GitHub Actions em botnet para explorar falha crítica no cPanel"?
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de...
Quais são os pontos-chave para validar primeiro?
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de... Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para varrer a internet em busca de servidores cPanel e WHM vulneráveis ao CVE 2026 41940.
O que devo fazer a seguir na prática?
A vulnerabilidade CVE 2026 41940 (CVSS 9.8) é um bypass de autenticação pré login no cPanel/WHM, corrigido em 28 de abril de 2026, que permite acesso root total sem senha.
Ataque em larga escala transforma GitHub Actions em botnet para explorar falha crítica no cPanel
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de... Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para...
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de...
Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para varrer a internet em busca de servidores cPanel e WHM vulneráveis ao CVE 2026 41940.
A vulnerabilidade CVE 2026 41940 (CVSS 9.8) é um bypass de autenticação pré login no cPanel/WHM, corrigido em 28 de abril de 2026, que permite acesso root total sem senha.
Dados roubados incluem credenciais AWS, tokens do GitHub e GitLab, chaves de API (OpenAI, Google, Stripe), chaves SSH, credenciais de banco de dados e e mail.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
No final de julho de 2026, pesquisadores de segurança revelaram uma campanha de ataque à cadeia de suprimentos e abuso de CI/CD de proporções inéditas. Os atacantes comprometeram a conta de um desenvolvedor PHP no Packagist, o principal repositório de pacotes PHP, e a usaram para injetar centenas de arquivos de workflow maliciosos do GitHub Actions em repositórios de código aberto. O objetivo não era infectar o código PHP, mas transformar os próprios runners gratuitos de CI/CD do GitHub em uma botnet distribuída e descartável para explorar uma vulnerabilidade crítica no cPanel e WHM, o amplamente utilizado painel de controle de hospedagem web .
Aqui está uma análise detalhada da campanha, da vulnerabilidade explorada, do que foi roubado, da verdadeira escala da operação e das defesas que você precisa implementar agora.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Ataque em larga escala transforma GitHub Actions em botnet para explorar falha crítica no cPanel"?
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de...
Quais são os pontos-chave para validar primeiro?
Campanha de grande escala revelada entre 22 e 23 de julho de 2026 comprometeu a conta Packagist do desenvolvedor PHP dinushchathurya, permitindo a injeção de 583 arquivos de workflow maliciosos do GitHub Actions em de... Os workflows transformaram os runners gratuitos do GitHub Actions em uma botnet distribuída para varrer a internet em busca de servidores cPanel e WHM vulneráveis ao CVE 2026 41940.
O que devo fazer a seguir na prática?
A vulnerabilidade CVE 2026 41940 (CVSS 9.8) é um bypass de autenticação pré login no cPanel/WHM, corrigido em 28 de abril de 2026, que permite acesso root total sem senha.
A Campanha: Transformando Runners do GitHub em uma Botnet
Vetor de Entrada: Uma Conta Comprometida no Packagist
O ataque começou com o comprometimento da conta Packagist do desenvolvedor PHP e DevOps, dinushchathurya, entre 12 e 13 de julho de 2026 . O Packagist é projetado para sincronizar automaticamente as versões dos pacotes a partir de seus repositórios de origem. Essa funcionalidade foi usada como arma: os atacantes enviaram versões de desenvolvimento "dev-main" maliciosas de todos os dez pacotes associados à conta do desenvolvedor, que o Packagist então ingeriu e disponibilizou . Os dez pacotes eram bibliotecas PHP legítimas, mas o ataque não visava seus usuários através do código PHP.
583 Arquivos de Workflow Maliciosos
O núcleo do ataque não estava no código PHP; as bibliotecas PHP permaneceram benignas, sem hooks de instalação ou atividade de rede maliciosa . Em vez disso, os atacantes injetaram 583 arquivos de workflow maliciosos do GitHub Actions (.github/workflows/*.yml) nos repositórios de origem do desenvolvedor. Cada versão de pacote afetado continha entre 55 e 62 desses arquivos de workflow . Workflows do GitHub Actions são arquivos YAML que definem tarefas automatizadas, como executar testes ou implantar código. Os atacantes reaproveitaram essa infraestrutura de automação legítima.
O Mecanismo Malicioso
Assim que um fork ou cópia do repositório comprometido acionava um workflow (por exemplo, em um evento push), o arquivo .yml malicioso instruía o runner Ubuntu hospedado pelo GitHub a :
Detectar a arquitetura da CPU do runner.
Baixar um payload de varredura e exploração de um servidor de comando e controle (C2) no endereço IP 43[.]228[.]157[.]68.
Escanear a internet em busca de sistemas executando serviços cPanel e WHM.
Explorar automaticamente os sistemas identificados usando a vulnerabilidade detalhada abaixo.
Exfiltrar os dados roubados de volta para o servidor C2.
Isso efetivamente transformou cada workflow acionado em um nó de varredura e exploração, usando a infraestrutura gratuita do GitHub como uma plataforma distribuída para o ataque .
A Vulnerabilidade: CVE-2026-41940
O alvo da campanha era o CVE-2026-41940, uma vulnerabilidade crítica no cPanel e WebHost Manager (WHM) .
Tipo: Bypass de autenticação pré-login .
Gravidade: CVSS 9.8 (Crítico) .
Causa Raiz: Uma vulnerabilidade de injeção CRLF (Carriage Return Line Feed) no manipulador de autenticação básica do cpsrvd. Um atacante não autenticado poderia enviar um cabeçalho Authorization manipulado contendo caracteres de nova linha brutos. Isso permitia injetar propriedades arbitrárias em um arquivo de sessão, como user=root e hasroot=1, concedendo efetivamente acesso administrativo de nível root à interface WHM sem uma senha válida .
Data do Patch: A cPanel lançou uma atualização de segurança em 28 de abril de 2026. Isso significa que os atacantes tiveram um patch funcional para analisar por vários meses antes do início desta campanha.
O Que Foi Roubado
Assim que a exploração era bem-sucedida em um servidor cPanel/WHM comprometido, o payload pós-exploração foi projetado para colher uma ampla gama de credenciais e segredos. Os alvos primários incluíam :
Credenciais de Nuvem: Chaves da Amazon Web Services (AWS).
Tokens de Controle de Versão: Tokens do GitHub, tokens do GitLab.
Chaves de API: Chaves da OpenAI, Google.
Processamento de Pagamentos: Chaves do Stripe.
Credenciais de Serviço de E-mail: (por exemplo, Mailgun, SendGrid).
Infraestrutura: Chaves privadas SSH, credenciais de banco de dados.
Dados de Configuração: Configurações remotas do Git.
O roubo de uma gama tão ampla de credenciais indica uma captura oportunista e indiferente de quaisquer tokens de acesso valiosos presentes no servidor comprometido .
Escala da Campanha: Milhares de Repositórios a Mais Comprometidos
Os 583 arquivos de workflow nos 10 pacotes Packagist foram apenas a descoberta inicial. Ao fazer o pivô em indicadores do atacante, como um domínio de callback DNSHook compartilhado e padrões de reutilização de código, os pesquisadores descobriram uma operação muito maior :
~6.100 arquivos de workflow foram diretamente ligados à mesma infraestrutura inicial do atacante .
~15.000 a 16.000 arquivos de workflow no GitHub foram encontrados correspondendo a padrões relacionados da campanha .
Essa enorme discrepância sugere fortemente que os atacantes comprometeram muitas mais contas de desenvolvedores e repositórios além da única conta dinushchathurya. A campanha não foi uma falha de ponto único, mas uma operação coordenada e multi-conta. O The Hacker News relatou um ataque separado e anterior à cadeia de suprimentos do Packagist em maio de 2026 que comprometeu 8 pacotes com elementos maliciosos relacionados , destacando ainda mais a vulnerabilidade do ecossistema.
Risco Contínuo: Por Que a Campanha Provavelmente Ainda Está Ativa
A campanha representa uma ameaça persistente porque a infraestrutura do atacante não está totalmente neutralizada. A campanha pode continuar através de :
Forks e Espelhos: Arquivos de workflow maliciosos podem persistir em cópias bifurcadas ou espelhadas dos repositórios comprometidos.
Snapshots em Cache: Os próprios caches do GitHub podem conter as versões de workflow maliciosas.
Credenciais Roubadas: As credenciais já exfiltradas permanecem na posse do atacante e podem ser usadas para movimento lateral ou ataques futuros.
Infraestrutura C2 Sobrevivente: O servidor C2 (43[.]228[.]157[.]68) pode ainda estar operacional e recebendo dados ativamente .
Embora a conta original do desenvolvedor no Packagist tenha sido suspensa, a escala massiva de arquivos de workflow correspondentes (até ~16.000) significa que a operação tem uma pegada ampla que é difícil de erradicar completamente .
Ações Defensivas Requeridas
Com base na análise publicada, as organizações e desenvolvedores devem tomar as seguintes ações imediatamente :
Aplicar Patch no cPanel/WHM Imediatamente: O CVE-2026-41940 foi corrigido em 28 de abril de 2026. Qualquer instalação do cPanel ou WHM (versões posteriores a 11.40) que não esteja atualizada é trivialmente explorável por atacantes remotos não autenticados. Este é o passo mais importante.
Auditar Todos os Workflows do GitHub Actions: Revise cada arquivo de workflow YAML em seus repositórios, especialmente aqueles que:
Baixam e executam binários externos.
Fazem conexões de rede de saída.
São executados em gatilhos push ou workflow_dispatch sem revisão manual.
Estão presentes em branches de desenvolvimento ou de funcionalidades que podem ser sincronizadas automaticamente por um gerenciador de pacotes.
Rodar Todas as Credenciais Expostas: Presuma que qualquer credencial presente em um servidor cPanel/WHM comprometido foi roubada. Isso inclui, mas não se limita a:
Chaves de provedor de nuvem (AWS, GCP, Azure).
Tokens de API (OpenAI, Google, Stripe).
Chaves SSH e senhas de banco de dados.
Tokens de gerenciamento de código-fonte (GitHub, GitLab).
Verificar Indicadores de Comprometimento (IOCs) Conhecidos: Pesquise em seus logs por conexões de rede para o IP C2 do atacante (43[.]228[.]157[.]68) e o domínio de callback DNSHook conhecido .
Endurecer Repositórios e Gerenciamento de Pacotes:
Ative regras de proteção de branch em todos os branches de desenvolvimento.
Exija commits assinados.
Evite sincronizar automaticamente registros de pacotes (como Packagist) diretamente de branches de repositório sem uma etapa de revisão .
Revisar Versões de Desenvolvimento do Packagist: Ao auditar dependências, examine especificamente as versões de desenvolvimento (dev-master, dev-main) em busca de arquivos .github/workflows/ inesperados, pois o código PHP em si pode estar limpo enquanto o ataque vive inteiramente na configuração de CI/CD .
A Campanha: Transformando Runners do GitHub em uma Botnet
Vetor de Entrada: Uma Conta Comprometida no Packagist
O ataque começou com o comprometimento da conta Packagist do desenvolvedor PHP e DevOps, dinushchathurya, entre 12 e 13 de julho de 2026 . O Packagist é projetado para sincronizar automaticamente as versões dos pacotes a partir de seus repositórios de origem. Essa funcionalidade foi usada como arma: os atacantes enviaram versões de desenvolvimento "dev-main" maliciosas de todos os dez pacotes associados à conta do desenvolvedor, que o Packagist então ingeriu e disponibilizou . Os dez pacotes eram bibliotecas PHP legítimas, mas o ataque não visava seus usuários através do código PHP.
583 Arquivos de Workflow Maliciosos
O núcleo do ataque não estava no código PHP; as bibliotecas PHP permaneceram benignas, sem hooks de instalação ou atividade de rede maliciosa . Em vez disso, os atacantes injetaram 583 arquivos de workflow maliciosos do GitHub Actions (.github/workflows/*.yml) nos repositórios de origem do desenvolvedor. Cada versão de pacote afetado continha entre 55 e 62 desses arquivos de workflow . Workflows do GitHub Actions são arquivos YAML que definem tarefas automatizadas, como executar testes ou implantar código. Os atacantes reaproveitaram essa infraestrutura de automação legítima.
O Mecanismo Malicioso
Assim que um fork ou cópia do repositório comprometido acionava um workflow (por exemplo, em um evento push), o arquivo .yml malicioso instruía o runner Ubuntu hospedado pelo GitHub a :
Detectar a arquitetura da CPU do runner.
Baixar um payload de varredura e exploração de um servidor de comando e controle (C2) no endereço IP 43[.]228[.]157[.]68.
Escanear a internet em busca de sistemas executando serviços cPanel e WHM.
Explorar automaticamente os sistemas identificados usando a vulnerabilidade detalhada abaixo.
Exfiltrar os dados roubados de volta para o servidor C2.
Isso efetivamente transformou cada workflow acionado em um nó de varredura e exploração, usando a infraestrutura gratuita do GitHub como uma plataforma distribuída para o ataque .
A Vulnerabilidade: CVE-2026-41940
O alvo da campanha era o CVE-2026-41940, uma vulnerabilidade crítica no cPanel e WebHost Manager (WHM) .
Tipo: Bypass de autenticação pré-login .
Gravidade: CVSS 9.8 (Crítico) .
Causa Raiz: Uma vulnerabilidade de injeção CRLF (Carriage Return Line Feed) no manipulador de autenticação básica do cpsrvd. Um atacante não autenticado poderia enviar um cabeçalho Authorization manipulado contendo caracteres de nova linha brutos. Isso permitia injetar propriedades arbitrárias em um arquivo de sessão, como user=root e hasroot=1, concedendo efetivamente acesso administrativo de nível root à interface WHM sem uma senha válida .
Data do Patch: A cPanel lançou uma atualização de segurança em 28 de abril de 2026. Isso significa que os atacantes tiveram um patch funcional para analisar por vários meses antes do início desta campanha.
O Que Foi Roubado
Assim que a exploração era bem-sucedida em um servidor cPanel/WHM comprometido, o payload pós-exploração foi projetado para colher uma ampla gama de credenciais e segredos. Os alvos primários incluíam :
Credenciais de Nuvem: Chaves da Amazon Web Services (AWS).
Tokens de Controle de Versão: Tokens do GitHub, tokens do GitLab.
Chaves de API: Chaves da OpenAI, Google.
Processamento de Pagamentos: Chaves do Stripe.
Credenciais de Serviço de E-mail: (por exemplo, Mailgun, SendGrid).
Infraestrutura: Chaves privadas SSH, credenciais de banco de dados.
Dados de Configuração: Configurações remotas do Git.
O roubo de uma gama tão ampla de credenciais indica uma captura oportunista e indiferente de quaisquer tokens de acesso valiosos presentes no servidor comprometido .
Escala da Campanha: Milhares de Repositórios a Mais Comprometidos
Os 583 arquivos de workflow nos 10 pacotes Packagist foram apenas a descoberta inicial. Ao fazer o pivô em indicadores do atacante, como um domínio de callback DNSHook compartilhado e padrões de reutilização de código, os pesquisadores descobriram uma operação muito maior :
~6.100 arquivos de workflow foram diretamente ligados à mesma infraestrutura inicial do atacante .
~15.000 a 16.000 arquivos de workflow no GitHub foram encontrados correspondendo a padrões relacionados da campanha .
Essa enorme discrepância sugere fortemente que os atacantes comprometeram muitas mais contas de desenvolvedores e repositórios além da única conta dinushchathurya. A campanha não foi uma falha de ponto único, mas uma operação coordenada e multi-conta. O The Hacker News relatou um ataque separado e anterior à cadeia de suprimentos do Packagist em maio de 2026 que comprometeu 8 pacotes com elementos maliciosos relacionados , destacando ainda mais a vulnerabilidade do ecossistema.
Risco Contínuo: Por Que a Campanha Provavelmente Ainda Está Ativa
A campanha representa uma ameaça persistente porque a infraestrutura do atacante não está totalmente neutralizada. A campanha pode continuar através de :
Forks e Espelhos: Arquivos de workflow maliciosos podem persistir em cópias bifurcadas ou espelhadas dos repositórios comprometidos.
Snapshots em Cache: Os próprios caches do GitHub podem conter as versões de workflow maliciosas.
Credenciais Roubadas: As credenciais já exfiltradas permanecem na posse do atacante e podem ser usadas para movimento lateral ou ataques futuros.
Infraestrutura C2 Sobrevivente: O servidor C2 (43[.]228[.]157[.]68) pode ainda estar operacional e recebendo dados ativamente .
Embora a conta original do desenvolvedor no Packagist tenha sido suspensa, a escala massiva de arquivos de workflow correspondentes (até ~16.000) significa que a operação tem uma pegada ampla que é difícil de erradicar completamente .
Ações Defensivas Requeridas
Com base na análise publicada, as organizações e desenvolvedores devem tomar as seguintes ações imediatamente :
Aplicar Patch no cPanel/WHM Imediatamente: O CVE-2026-41940 foi corrigido em 28 de abril de 2026. Qualquer instalação do cPanel ou WHM (versões posteriores a 11.40) que não esteja atualizada é trivialmente explorável por atacantes remotos não autenticados. Este é o passo mais importante.
Auditar Todos os Workflows do GitHub Actions: Revise cada arquivo de workflow YAML em seus repositórios, especialmente aqueles que:
Baixam e executam binários externos.
Fazem conexões de rede de saída.
São executados em gatilhos push ou workflow_dispatch sem revisão manual.
Estão presentes em branches de desenvolvimento ou de funcionalidades que podem ser sincronizadas automaticamente por um gerenciador de pacotes.
Rodar Todas as Credenciais Expostas: Presuma que qualquer credencial presente em um servidor cPanel/WHM comprometido foi roubada. Isso inclui, mas não se limita a:
Chaves de provedor de nuvem (AWS, GCP, Azure).
Tokens de API (OpenAI, Google, Stripe).
Chaves SSH e senhas de banco de dados.
Tokens de gerenciamento de código-fonte (GitHub, GitLab).
Verificar Indicadores de Comprometimento (IOCs) Conhecidos: Pesquise em seus logs por conexões de rede para o IP C2 do atacante (43[.]228[.]157[.]68) e o domínio de callback DNSHook conhecido .
Endurecer Repositórios e Gerenciamento de Pacotes:
Ative regras de proteção de branch em todos os branches de desenvolvimento.
Exija commits assinados.
Evite sincronizar automaticamente registros de pacotes (como Packagist) diretamente de branches de repositório sem uma etapa de revisão .
Revisar Versões de Desenvolvimento do Packagist: Ao auditar dependências, examine especificamente as versões de desenvolvimento (dev-master, dev-main) em busca de arquivos .github/workflows/ inesperados, pois o código PHP em si pode estar limpo enquanto o ataque vive inteiramente na configuração de CI/CD .
