Massiv leveranskedjeattack: 583 skadliga arbetsflöden på GitHub utnyttjar cPanel-sårbarhet
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio... De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade int...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio...
De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade internet efter sårbara cPanel/WHM servrar för att utnyttja CVE 2026 41940, en kritisk autentiseringsbrist (CVSS 9.8).
Angriparna stal AWS nycklar, GitHub och GitLab tokens, OpenAI och Google API nycklar, Stripe nycklar, e posttjänstuppgifter, SSH nycklar och databasuppgifter från komprometterade servrar.
Forskare identifierade upp till 16 000 matchande arbetsflödesfiler på GitHub, vilket tyder på att angriparna kapade många fler konton och repositoryn än de tio inledande paketen.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutet av juli 2026 avslöjade säkerhetsforskare en leveranskedje- och CI/CD-missbrukskampanj av aldrig tidigare skådad omfattning. Angriparna komprometterade ett PHP-utvecklares konto på Packagist, det centrala PHP-paketregistret, och använde det för att injicera hundratals skadliga GitHub Actions-arbetsflödesfiler i öppen källkods-repositoryn. Målet var inte att infektera PHP-kod, utan att omvandla Googles egna kostnadsfria CI/CD-löpare till ett distribuerat, engångsbotnät för att utnyttja en kritisk sårbarhet i cPanel och WHM, de allmänt använda webbhotellkontrollpanelerna .
Här är en genomgång av kampanjen, sårbarheten den utnyttjade, vad som stals, den verkliga omfattningen av operationen och de försvar du måste implementera nu.
Kampanjen: Att omvandla GitHub-löpare till ett botnät
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massiv leveranskedjeattack: 583 skadliga arbetsflöden på GitHub utnyttjar cPanel-sårbarhet"?
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio...
What are the key points to validate first?
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio... De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade internet efter sårbara cPanel/WHM servrar för att utnyttja CVE 2026 41940, en kritisk autentiseringsbrist (CVSS 9.8).
What should I do next in practice?
Angriparna stal AWS nycklar, GitHub och GitLab tokens, OpenAI och Google API nycklar, Stripe nycklar, e posttjänstuppgifter, SSH nycklar och databasuppgifter från komprometterade servrar.
Massiv leveranskedjeattack: 583 skadliga arbetsflöden på GitHub utnyttjar cPanel-sårbarhet
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio... De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade int...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio...
De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade internet efter sårbara cPanel/WHM servrar för att utnyttja CVE 2026 41940, en kritisk autentiseringsbrist (CVSS 9.8).
Angriparna stal AWS nycklar, GitHub och GitLab tokens, OpenAI och Google API nycklar, Stripe nycklar, e posttjänstuppgifter, SSH nycklar och databasuppgifter från komprometterade servrar.
Forskare identifierade upp till 16 000 matchande arbetsflödesfiler på GitHub, vilket tyder på att angriparna kapade många fler konton och repositoryn än de tio inledande paketen.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
I slutet av juli 2026 avslöjade säkerhetsforskare en leveranskedje- och CI/CD-missbrukskampanj av aldrig tidigare skådad omfattning. Angriparna komprometterade ett PHP-utvecklares konto på Packagist, det centrala PHP-paketregistret, och använde det för att injicera hundratals skadliga GitHub Actions-arbetsflödesfiler i öppen källkods-repositoryn. Målet var inte att infektera PHP-kod, utan att omvandla Googles egna kostnadsfria CI/CD-löpare till ett distribuerat, engångsbotnät för att utnyttja en kritisk sårbarhet i cPanel och WHM, de allmänt använda webbhotellkontrollpanelerna .
Här är en genomgång av kampanjen, sårbarheten den utnyttjade, vad som stals, den verkliga omfattningen av operationen och de försvar du måste implementera nu.
Kampanjen: Att omvandla GitHub-löpare till ett botnät
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massiv leveranskedjeattack: 583 skadliga arbetsflöden på GitHub utnyttjar cPanel-sårbarhet"?
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio...
What are the key points to validate first?
En storskalig leveranskedjekampanj, avslöjad 22–23 juli 2026, kapade Packagist kontot för PHP utvecklaren dinushchathurya, vilket gjorde att angripare kunde injicera 583 skadliga GitHub Actions arbetsflödesfiler i tio... De skadliga arbetsflödena omvandlade GitHub Actions till en distribuerad botnät som skannade internet efter sårbara cPanel/WHM servrar för att utnyttja CVE 2026 41940, en kritisk autentiseringsbrist (CVSS 9.8).
What should I do next in practice?
Angriparna stal AWS nycklar, GitHub och GitLab tokens, OpenAI och Google API nycklar, Stripe nycklar, e posttjänstuppgifter, SSH nycklar och databasuppgifter från komprometterade servrar.
Attacken började med att angriparna komprometterade Packagist-kontot för den legitima PHP- och DevOps-utvecklaren dinushchathurya, någon gång mellan 12 och 13 juli 2026 . Packagist är utformat för att automatiskt synkronisera paketversioner från deras källkodsrepositoryn. Denna funktion användes som vapen: angriparna tryckte ut skadliga "dev-main"-utvecklingsversioner av alla tio paket som var kopplade till utvecklarens konto, vilket Packagist sedan tog in och gjorde tillgängliga . De tio paketen var legitima PHP-bibliotek, men attacken riktade sig inte mot deras användare via PHP-kod.
583 skadliga arbetsflödesfiler
Kärnan i attacken fanns inte i själva PHP-koden; PHP-biblioteken förblev ofarliga utan installationshookar eller skadlig nätverksaktivitet . Istället injicerade angriparna 583 skadliga GitHub Actions-arbetsflödesfiler (.github/workflows/*.yml) i utvecklarens källkodsrepositoryn. Varje påverkat paketversion innehöll mellan 55 och 62 av dessa arbetsflödesfiler . GitHub Actions-arbetsflöden är YAML-filer som definierar automatiserade uppgifter, som att köra tester eller distribuera kod. Angriparna omprogrammerade denna legitima automationsinfrastruktur.
Den skadliga mekanismen
När en fork eller kopia av det komprometterade repositoryt utlöste ett arbetsflöde (t.ex. vid en push-händelse), instruerade den skadliga .yml-filen den GitHub-värdbaserade Ubuntu-löparen att :
Upptäcka löparens CPU-arkitektur.
Ladda ner en skannings- och exploateringsnyttolast från en kommando- och kontrollserver (C2) på IP-adressen 43[.]228[.]157[.]68.
Skanna internet efter system som kör cPanel- och WHM-tjänster.
Automatiskt utnyttja de identifierade systemen med hjälp av sårbarheten som beskrivs nedan.
Exfiltrera stulna data tillbaka till C2-servern.
Detta omvandlade varje utlöst arbetsflöde till en skannings- och exploateringsnod, och använde Googles kostnadsfria infrastruktur som en distribuerad plattform för attacken .
Sårbarheten: CVE-2026-41940
Målet för kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel och WebHost Manager (WHM) .
Typ: Autentiseringsbrist före autentisering .
Allvarlighetsgrad: CVSS 9.8 (Kritisk) .
Grundorsak: En CRLF-injektionssårbarhet (Carriage Return Line Feed) i cpsrvd grundläggande autentiseringshanterare . En oautentiserad angripare kunde skicka en manipulerad Authorization-rubrik som innehöll råa newline-tecken. Detta gjorde det möjligt för dem att injicera godtyckliga egenskaper i en sessionsfil, såsom user=root och hasroot=1, vilket i praktiken gav dem root-nivå administrativ åtkomst till WHM-gränssnittet utan ett giltigt lösenord .
Patchdatum: cPanel släppte en säkerhetsuppdatering den 28 april 2026. Detta innebär att angriparna hade en fungerande patch att analysera i flera månader innan denna kampanj startade.
Vad som stals
När exploateringen lyckades på en komprometterad cPanel/WHM-server var den efterföljande nyttolasten utformad för att skörda ett brett spektrum av autentiseringsuppgifter och hemligheter. De primära målen inkluderade :
Molnautentiseringsuppgifter: Amazon Web Services (AWS) nycklar.
Stölden av ett så brett spektrum av autentiseringsuppgifter indikerar en dataagnostisk, opportunistisk åtkomst av alla värdefulla åtkomsttokens som finns på den komprometterade servern .
Kampanjens omfattning: Tusentals fler repositoryn komprometterade
De 583 arbetsflödesfilerna i de 10 Packagist-paketen var bara den första upptäckten. Genom att korsreferera angivarindikatorer som en delad DNSHook- callback-domän och kodåteranvändningsmönster, avslöjade forskare en mycket större operation :
~6 100 arbetsflödesfiler var direkt kopplade till samma initiala angivarinfrastruktur .
~15 000 till 16 000 arbetsflödesfiler på GitHub matchade relaterade mönster från kampanjen .
Denna enorma skillnad tyder starkt på att angriparna komprometterade många fler utvecklarkonton och repositoryn utöver det enda kontot dinushchathurya. Kampanjen var inte ett enda misslyckande utan en samordnad operation med flera konton. The Hacker News rapporterade om en separat, tidigare Packagist-leverantörskedjeattack i maj 2026 som komprometterade 8 paket med relaterade skadliga element , vilket ytterligare belyser ekosystemets sårbarhet.
Pågående risk: Varför kampanjen troligen fortfarande är aktiv
Kampanjen utgör ett ihållande hot eftersom angriparens infrastruktur inte helt oskadliggjorts. Kampanjen kan fortsätta genom :
Forks och speglar: Skadliga arbetsflödesfiler kan finnas kvar i forked eller speglade kopior av de komprometterade repositoryna.
Cachelagrade ögonblicksbilder: Googles egna cacheminnen kan innehålla de skadliga arbetsflödesversionerna.
Stulna autentiseringsuppgifter: Autentiseringsuppgifterna som redan exfiltrerats finns fortfarande i angriparens ägo och kan användas för lateral rörelse eller framtida attacker.
Överlevande C2-infrastruktur: C2-servern (43[.]228[.]157[.]68) kan fortfarande vara i drift och aktivt ta emot data .
Medan utvecklarens originalkonto på Packagist har stängts av, innebär den rena omfattningen av matchande arbetsflödesfiler (upp till ~16 000) att operationen har ett stort fotavtryck som är svårt att helt utrota .
Defensiva åtgärder som krävs
Baserat på den publicerade analysen bör organisationer och utvecklare omedelbart vidta följande åtgärder :
Patching av cPanel/WHM omedelbart: CVE-2026-41940 patchades den 28 april 2026. Alla cPanel- eller WHM-installationer (versioner efter 11.40) som inte är uppdaterade är trivialt exploaterbara av oautentiserade fjärrangripare. Detta är det enskilt viktigaste steget.
Granska alla GitHub Actions-arbetsflöden: Gå igenom varje arbetsflödes YAML-fil i dina repositoryn, särskilt de som:
Laddar ner och kör externa binärfiler.
Gör utgående nätverksanslutningar.
Körs vid push- eller workflow_dispatch-utlösare utan manuell granskning.
Finns i utvecklings- eller funktionsgrenar som automatiskt kan synkroniseras av en pakethanterare.
Rotera alla exponerade autentiseringsuppgifter: Anta att varje autentiseringsuppgift som finns på en komprometterad cPanel/WHM-server har stulits. Detta inkluderar, men är inte begränsat till:
Molnleverantörsnycklar (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nycklar och databaslösenord.
Källkodshanterings-tokens (GitHub, GitLab).
Kontrollera kända indikatorer på kompromettering: Sök i dina loggar efter nätverksanslutningar till angriparens C2-IP (43[.]228[.]157[.]68) och den kända DNSHook- callback-domänen .
Förstärk repositoryn och pakethantering:
Aktivera grenskyddsregler på alla utvecklingsgrenar.
Kräv signerade commits.
Undvik att automatiskt synkronisera paketregister (som Packagist) direkt från repositorygrenar utan ett granskningssteg .
Granska Packagist-utvecklingsversioner: När du granskar beroenden, undersök specifikt utvecklingsversioner (dev-master, dev-main) för oväntade .github/workflows/-filer, eftersom PHP-koden i sig kan vara ren medan attacken lever helt i CI/CD-konfigurationen .
Attacken började med att angriparna komprometterade Packagist-kontot för den legitima PHP- och DevOps-utvecklaren dinushchathurya, någon gång mellan 12 och 13 juli 2026 . Packagist är utformat för att automatiskt synkronisera paketversioner från deras källkodsrepositoryn. Denna funktion användes som vapen: angriparna tryckte ut skadliga "dev-main"-utvecklingsversioner av alla tio paket som var kopplade till utvecklarens konto, vilket Packagist sedan tog in och gjorde tillgängliga . De tio paketen var legitima PHP-bibliotek, men attacken riktade sig inte mot deras användare via PHP-kod.
583 skadliga arbetsflödesfiler
Kärnan i attacken fanns inte i själva PHP-koden; PHP-biblioteken förblev ofarliga utan installationshookar eller skadlig nätverksaktivitet . Istället injicerade angriparna 583 skadliga GitHub Actions-arbetsflödesfiler (.github/workflows/*.yml) i utvecklarens källkodsrepositoryn. Varje påverkat paketversion innehöll mellan 55 och 62 av dessa arbetsflödesfiler . GitHub Actions-arbetsflöden är YAML-filer som definierar automatiserade uppgifter, som att köra tester eller distribuera kod. Angriparna omprogrammerade denna legitima automationsinfrastruktur.
Den skadliga mekanismen
När en fork eller kopia av det komprometterade repositoryt utlöste ett arbetsflöde (t.ex. vid en push-händelse), instruerade den skadliga .yml-filen den GitHub-värdbaserade Ubuntu-löparen att :
Upptäcka löparens CPU-arkitektur.
Ladda ner en skannings- och exploateringsnyttolast från en kommando- och kontrollserver (C2) på IP-adressen 43[.]228[.]157[.]68.
Skanna internet efter system som kör cPanel- och WHM-tjänster.
Automatiskt utnyttja de identifierade systemen med hjälp av sårbarheten som beskrivs nedan.
Exfiltrera stulna data tillbaka till C2-servern.
Detta omvandlade varje utlöst arbetsflöde till en skannings- och exploateringsnod, och använde Googles kostnadsfria infrastruktur som en distribuerad plattform för attacken .
Sårbarheten: CVE-2026-41940
Målet för kampanjen var CVE-2026-41940, en kritisk sårbarhet i cPanel och WebHost Manager (WHM) .
Typ: Autentiseringsbrist före autentisering .
Allvarlighetsgrad: CVSS 9.8 (Kritisk) .
Grundorsak: En CRLF-injektionssårbarhet (Carriage Return Line Feed) i cpsrvd grundläggande autentiseringshanterare . En oautentiserad angripare kunde skicka en manipulerad Authorization-rubrik som innehöll råa newline-tecken. Detta gjorde det möjligt för dem att injicera godtyckliga egenskaper i en sessionsfil, såsom user=root och hasroot=1, vilket i praktiken gav dem root-nivå administrativ åtkomst till WHM-gränssnittet utan ett giltigt lösenord .
Patchdatum: cPanel släppte en säkerhetsuppdatering den 28 april 2026. Detta innebär att angriparna hade en fungerande patch att analysera i flera månader innan denna kampanj startade.
Vad som stals
När exploateringen lyckades på en komprometterad cPanel/WHM-server var den efterföljande nyttolasten utformad för att skörda ett brett spektrum av autentiseringsuppgifter och hemligheter. De primära målen inkluderade :
Molnautentiseringsuppgifter: Amazon Web Services (AWS) nycklar.
Stölden av ett så brett spektrum av autentiseringsuppgifter indikerar en dataagnostisk, opportunistisk åtkomst av alla värdefulla åtkomsttokens som finns på den komprometterade servern .
Kampanjens omfattning: Tusentals fler repositoryn komprometterade
De 583 arbetsflödesfilerna i de 10 Packagist-paketen var bara den första upptäckten. Genom att korsreferera angivarindikatorer som en delad DNSHook- callback-domän och kodåteranvändningsmönster, avslöjade forskare en mycket större operation :
~6 100 arbetsflödesfiler var direkt kopplade till samma initiala angivarinfrastruktur .
~15 000 till 16 000 arbetsflödesfiler på GitHub matchade relaterade mönster från kampanjen .
Denna enorma skillnad tyder starkt på att angriparna komprometterade många fler utvecklarkonton och repositoryn utöver det enda kontot dinushchathurya. Kampanjen var inte ett enda misslyckande utan en samordnad operation med flera konton. The Hacker News rapporterade om en separat, tidigare Packagist-leverantörskedjeattack i maj 2026 som komprometterade 8 paket med relaterade skadliga element , vilket ytterligare belyser ekosystemets sårbarhet.
Pågående risk: Varför kampanjen troligen fortfarande är aktiv
Kampanjen utgör ett ihållande hot eftersom angriparens infrastruktur inte helt oskadliggjorts. Kampanjen kan fortsätta genom :
Forks och speglar: Skadliga arbetsflödesfiler kan finnas kvar i forked eller speglade kopior av de komprometterade repositoryna.
Cachelagrade ögonblicksbilder: Googles egna cacheminnen kan innehålla de skadliga arbetsflödesversionerna.
Stulna autentiseringsuppgifter: Autentiseringsuppgifterna som redan exfiltrerats finns fortfarande i angriparens ägo och kan användas för lateral rörelse eller framtida attacker.
Överlevande C2-infrastruktur: C2-servern (43[.]228[.]157[.]68) kan fortfarande vara i drift och aktivt ta emot data .
Medan utvecklarens originalkonto på Packagist har stängts av, innebär den rena omfattningen av matchande arbetsflödesfiler (upp till ~16 000) att operationen har ett stort fotavtryck som är svårt att helt utrota .
Defensiva åtgärder som krävs
Baserat på den publicerade analysen bör organisationer och utvecklare omedelbart vidta följande åtgärder :
Patching av cPanel/WHM omedelbart: CVE-2026-41940 patchades den 28 april 2026. Alla cPanel- eller WHM-installationer (versioner efter 11.40) som inte är uppdaterade är trivialt exploaterbara av oautentiserade fjärrangripare. Detta är det enskilt viktigaste steget.
Granska alla GitHub Actions-arbetsflöden: Gå igenom varje arbetsflödes YAML-fil i dina repositoryn, särskilt de som:
Laddar ner och kör externa binärfiler.
Gör utgående nätverksanslutningar.
Körs vid push- eller workflow_dispatch-utlösare utan manuell granskning.
Finns i utvecklings- eller funktionsgrenar som automatiskt kan synkroniseras av en pakethanterare.
Rotera alla exponerade autentiseringsuppgifter: Anta att varje autentiseringsuppgift som finns på en komprometterad cPanel/WHM-server har stulits. Detta inkluderar, men är inte begränsat till:
Molnleverantörsnycklar (AWS, GCP, Azure).
API-tokens (OpenAI, Google, Stripe).
SSH-nycklar och databaslösenord.
Källkodshanterings-tokens (GitHub, GitLab).
Kontrollera kända indikatorer på kompromettering: Sök i dina loggar efter nätverksanslutningar till angriparens C2-IP (43[.]228[.]157[.]68) och den kända DNSHook- callback-domänen .
Förstärk repositoryn och pakethantering:
Aktivera grenskyddsregler på alla utvecklingsgrenar.
Kräv signerade commits.
Undvik att automatiskt synkronisera paketregister (som Packagist) direkt från repositorygrenar utan ett granskningssteg .
Granska Packagist-utvecklingsversioner: När du granskar beroenden, undersök specifikt utvecklingsversioner (dev-master, dev-main) för oväntade .github/workflows/-filer, eftersom PHP-koden i sig kan vara ren medan attacken lever helt i CI/CD-konfigurationen .
