Massiv leveranskedjeattack: 583 skadliga arbetsflöden på GitHub utnyttjar cPanel-sårbarhet

Ingångsvektor: Ett komprometterat Packagist-konto

Attacken började med att angriparna komprometterade Packagist-kontot för den legitima PHP- och DevOps-utvecklaren dinushchathurya, någon gång mellan 12 och 13 juli 2026 . Packagist är utformat för att automatiskt synkronisera paketversioner från deras källkodsrepositoryn. Denna funktion användes som vapen: angriparna tryckte ut skadliga "dev-main"-utvecklingsversioner av alla tio paket som var kopplade till utvecklarens konto, vilket Packagist sedan tog in och gjorde tillgängliga . De tio paketen var legitima PHP-bibliotek, men attacken riktade sig inte mot deras användare via PHP-kod.

583 skadliga arbetsflödesfiler

Kärnan i attacken fanns inte i själva PHP-koden; PHP-biblioteken förblev ofarliga utan installationshookar eller skadlig nätverksaktivitet . Istället injicerade angriparna 583 skadliga GitHub Actions-arbetsflödesfiler (.github/workflows/*.yml) i utvecklarens källkodsrepositoryn. Varje påverkat paketversion innehöll mellan 55 och 62 av dessa arbetsflödesfiler . GitHub Actions-arbetsflöden är YAML-filer som definierar automatiserade uppgifter, som att köra tester eller distribuera kod. Angriparna omprogrammerade denna legitima automationsinfrastruktur.

Den skadliga mekanismen

När en fork eller kopia av det komprometterade repositoryt utlöste ett arbetsflöde (t.ex. vid en push-händelse), instruerade den skadliga .yml-filen den GitHub-värdbaserade Ubuntu-löparen att :

1. Upptäcka löparens CPU-arkitektur.
2. Ladda ner en skannings- och exploateringsnyttolast från en kommando- och kontrollserver (C2) på IP-adressen 43[.]228[.]157[.]68.
3. Skanna internet efter system som kör cPanel- och WHM-tjänster.
4. Automatiskt utnyttja de identifierade systemen med hjälp av sårbarheten som beskrivs nedan.
5. Exfiltrera stulna data tillbaka till C2-servern.

Detta omvandlade varje utlöst arbetsflöde till en skannings- och exploateringsnod, och använde Googles kostnadsfria infrastruktur som en distribuerad plattform för attacken .

Sårbarheten: CVE-2026-41940

Målet för kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel och WebHost Manager (WHM) .

• Typ: Autentiseringsbrist före autentisering .
• Allvarlighetsgrad: CVSS 9.8 (Kritisk) .
• Grundorsak: En CRLF-injektionssårbarhet (Carriage Return Line Feed) i cpsrvd grundläggande autentiseringshanterare . En oautentiserad angripare kunde skicka en manipulerad Authorization-rubrik som innehöll råa newline-tecken. Detta gjorde det möjligt för dem att injicera godtyckliga egenskaper i en sessionsfil, såsom user=root och hasroot=1, vilket i praktiken gav dem root-nivå administrativ åtkomst till WHM-gränssnittet utan ett giltigt lösenord .
• Patchdatum: cPanel släppte en säkerhetsuppdatering den 28 april 2026 . Detta innebär att angriparna hade en fungerande patch att analysera i flera månader innan denna kampanj startade.

Vad som stals

När exploateringen lyckades på en komprometterad cPanel/WHM-server var den efterföljande nyttolasten utformad för att skörda ett brett spektrum av autentiseringsuppgifter och hemligheter. De primära målen inkluderade :

• Molnautentiseringsuppgifter: Amazon Web Services (AWS) nycklar.
• Källkodstokens: GitHub-tokens, GitLab-tokens.
• API-nycklar: OpenAI, Google API-nycklar.
• Betalningshantering: Stripe-nycklar.
• E-posttjänstautentiseringsuppgifter: (t.ex. Mailgun, SendGrid).
• Infrastruktur: SSH-privata nycklar, databasautentiseringsuppgifter.
• Konfigurationsdata: Git fjärrkonfigurationer.

Stölden av ett så brett spektrum av autentiseringsuppgifter indikerar en dataagnostisk, opportunistisk åtkomst av alla värdefulla åtkomsttokens som finns på den komprometterade servern .

Kampanjens omfattning: Tusentals fler repositoryn komprometterade

De 583 arbetsflödesfilerna i de 10 Packagist-paketen var bara den första upptäckten. Genom att korsreferera angivarindikatorer som en delad DNSHook- callback-domän och kodåteranvändningsmönster, avslöjade forskare en mycket större operation :

• ~6 100 arbetsflödesfiler var direkt kopplade till samma initiala angivarinfrastruktur .
• ~15 000 till 16 000 arbetsflödesfiler på GitHub matchade relaterade mönster från kampanjen .

Denna enorma skillnad tyder starkt på att angriparna komprometterade många fler utvecklarkonton och repositoryn utöver det enda kontot dinushchathurya . Kampanjen var inte ett enda misslyckande utan en samordnad operation med flera konton. The Hacker News rapporterade om en separat, tidigare Packagist-leverantörskedjeattack i maj 2026 som komprometterade 8 paket med relaterade skadliga element , vilket ytterligare belyser ekosystemets sårbarhet.

Pågående risk: Varför kampanjen troligen fortfarande är aktiv

Kampanjen utgör ett ihållande hot eftersom angriparens infrastruktur inte helt oskadliggjorts. Kampanjen kan fortsätta genom :

• Forks och speglar: Skadliga arbetsflödesfiler kan finnas kvar i forked eller speglade kopior av de komprometterade repositoryna.
• Cachelagrade ögonblicksbilder: Googles egna cacheminnen kan innehålla de skadliga arbetsflödesversionerna.
• Stulna autentiseringsuppgifter: Autentiseringsuppgifterna som redan exfiltrerats finns fortfarande i angriparens ägo och kan användas för lateral rörelse eller framtida attacker.
• Överlevande C2-infrastruktur: C2-servern (43[.]228[.]157[.]68) kan fortfarande vara i drift och aktivt ta emot data .

Medan utvecklarens originalkonto på Packagist har stängts av, innebär den rena omfattningen av matchande arbetsflödesfiler (upp till ~16 000) att operationen har ett stort fotavtryck som är svårt att helt utrota .

Defensiva åtgärder som krävs

Baserat på den publicerade analysen bör organisationer och utvecklare omedelbart vidta följande åtgärder :

1. Patching av cPanel/WHM omedelbart: CVE-2026-41940 patchades den 28 april 2026. Alla cPanel- eller WHM-installationer (versioner efter 11.40) som inte är uppdaterade är trivialt exploaterbara av oautentiserade fjärrangripare. Detta är det enskilt viktigaste steget.
2. Granska alla GitHub Actions-arbetsflöden: Gå igenom varje arbetsflödes YAML-fil i dina repositoryn, särskilt de som:
   • Laddar ner och kör externa binärfiler.
   • Gör utgående nätverksanslutningar.
   • Körs vid push- eller workflow_dispatch-utlösare utan manuell granskning.
   • Finns i utvecklings- eller funktionsgrenar som automatiskt kan synkroniseras av en pakethanterare.
3. Rotera alla exponerade autentiseringsuppgifter: Anta att varje autentiseringsuppgift som finns på en komprometterad cPanel/WHM-server har stulits. Detta inkluderar, men är inte begränsat till:
   • Molnleverantörsnycklar (AWS, GCP, Azure).
   • API-tokens (OpenAI, Google, Stripe).
   • SSH-nycklar och databaslösenord.
   • Källkodshanterings-tokens (GitHub, GitLab).
4. Kontrollera kända indikatorer på kompromettering: Sök i dina loggar efter nätverksanslutningar till angriparens C2-IP (43[.]228[.]157[.]68) och den kända DNSHook- callback-domänen .
5. Förstärk repositoryn och pakethantering:
   • Aktivera grenskyddsregler på alla utvecklingsgrenar.
   • Kräv signerade commits.
   • Undvik att automatiskt synkronisera paketregister (som Packagist) direkt från repositorygrenar utan ett granskningssteg .
6. Granska Packagist-utvecklingsversioner: När du granskar beroenden, undersök specifikt utvecklingsversioner (dev-master, dev-main) för oväntade .github/workflows/-filer, eftersom PHP-koden i sig kan vara ren medan attacken lever helt i CI/CD-konfigurationen .