ซัพพลายเชนถล่ม! 583 ไฟล์เวิร์กโฟลว์ GitHub เปลี่ยนผู้ประมวลผลให้เป็นบอตเน็ต โจมตี cPanel Zero-Day

การโจมตีเริ่มต้นจากการเจาะบัญชี Packagist ของนักพัฒนา PHP และ DevOps ที่ถูกต้องตามกฎหมายชื่อ dinushchathurya ซึ่งเกิดขึ้นระหว่างวันที่ 12 ถึง 13 กรกฎาคม 2026 Packagist ได้รับการออกแบบให้ซิงโครไนซ์เวอร์ชันแพ็คเกจจากพื้นที่เก็บข้อมูลต้นทางโดยอัตโนมัติ ฟีเจอร์นี้ถูกใช้เป็นอาวุธ: ผู้โจมตีผลักดันเวอร์ชันพัฒนาที่เป็นอันตราย 'dev-main' ของแพ็คเกจทั้ง สิบรายการ ที่เกี่ยวข้องกับบัญชีนักพัฒนา ซึ่ง Packagist นำเข้าและทำให้พร้อมใช้งาน แพ็คเกจทั้งสิบเป็นไลบรารี PHP ที่ถูกต้องตามกฎหมาย แต่การโจมตีไม่ได้กำหนดเป้าหมายผู้ใช้ผ่านโค้ด PHP

583 ไฟล์เวิร์กโฟลว์ที่เป็นอันตราย

แกนหลักของการโจมตีไม่ได้อยู่ในโค้ด PHP เอง ไลบรารี PHP ยังคงไม่เป็นอันตราย ไม่มีฮุกติดตั้งหรือกิจกรรมเครือข่ายที่เป็นอันตราย แต่ผู้โจมตีกลับฉีดไฟล์เวิร์กโฟลว์ GitHub Actions ที่เป็นอันตราย 583 รายการ (.github/workflows/*.yml) เข้าไปในพื้นที่เก็บข้อมูลต้นทางของนักพัฒนา แต่ละเวอร์ชันแพ็คเกจที่ได้รับผลกระทบมีไฟล์เวิร์กโฟลว์ระหว่าง 55 ถึง 62 ไฟล์ GitHub Actions เวิร์กโฟลว์คือไฟล์ YAML ที่กำหนดงานอัตโนมัติ เช่น การรันทดสอบหรือการปรับใช้โค้ด ผู้โจมตีนำโครงสร้างพื้นฐานอัตโนมัติที่ถูกต้องตามกฎหมายนี้ไปใช้ในทางที่ผิด

กลไกที่เป็นอันตราย

เมื่อฟอร์กหรือสำเนาของพื้นที่เก็บข้อมูลที่ถูกบุกรุกเริ่มเวิร์กโฟลว์ (เช่น เมื่อเกิดอีเวนต์ push) ไฟล์ .yml ที่เป็นอันตรายจะสั่งให้รันเนอร์ Ubuntu ที่โฮสต์โดย GitHub :

1. ตรวจจับสถาปัตยกรรม CPU ของรันเนอร์
2. ดาวน์โหลดเพย์โหลดสแกนและโจมตีจากเซิร์ฟเวอร์ C2 ที่ IP 43[.]228[.]157[.]68
3. สแกนอินเทอร์เน็ตหาระบบที่รันบริการ cPanel และ WHM
4. โจมตีระบบที่ระบุโดยอัตโนมัติโดยใช้ช่องโหว่ด้านล่าง
5. ขโมยข้อมูลที่ถูกขโมยกลับไปยังเซิร์ฟเวอร์ C2

สิ่งนี้ทำให้ทุกเวิร์กโฟลว์ที่ถูกเรียกใช้กลายเป็นโหนดสแกนและโจมตี โดยใช้โครงสร้างพื้นฐานฟรีของ GitHub เป็นแพลตฟอร์มแบบกระจายสำหรับการโจมตี

ช่องโหว่: CVE-2026-41940

เป้าหมายของแคมเปญคือ CVE-2026-41940 ช่องโหว่ร้ายแรงใน cPanel และ WebHost Manager (WHM)

• ประเภท: การข้ามการรับรองความถูกต้องก่อนการตรวจสอบสิทธิ์
• ความรุนแรง: CVSS 9.8 (ระดับวิกฤต)
• สาเหตุ: ช่องโหว่การฉีด CRLF (Carriage Return Line Feed) ในตัวจัดการการรับรองความถูกต้องพื้นฐาน cpsrvd ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถส่งส่วนหัว Authorization ที่ออกแบบมาเป็นพิเศษซึ่งมีอักขระขึ้นบรรทัดใหม่ดิบได้ สิ่งนี้อนุญาตให้พวกเขาฉีดคุณสมบัติตามอำเภอใจลงในไฟล์เซสชัน เช่น user=root และ hasroot=1 ทำให้สามารถเข้าถึงอินเทอร์เฟซ WHM ในระดับรูทได้อย่างมีประสิทธิภาพโดยไม่ต้องใช้รหัสผ่านที่ถูกต้อง
• วันที่แพตช์: cPanel เผยแพร่การอัปเดตความปลอดภัยในวันที่ 28 เมษายน 2026 ซึ่งหมายความว่าผู้โจมตีมีแพตช์ที่ใช้งานได้เพื่อวิเคราะห์เป็นเวลาหลายเดือนก่อนที่แคมเปญนี้จะเริ่มต้น

สิ่งที่ถูกขโมย

เมื่อการโจมตีสำเร็จบนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุก เพย์โหลดหลังการโจมตีได้รับการออกแบบมาเพื่อเก็บเกี่ยวข้อมูลประจำตัวและความลับที่หลากหลาย เป้าหมายหลักรวมถึง :

• ข้อมูลประจำตัวคลาวด์: คีย์ Amazon Web Services (AWS)
• โทเค็นการควบคุมแหล่งที่มา: โทเค็น GitHub, โทเค็น GitLab
• คีย์ API: คีย์ OpenAI, Google API
• การประมวลผลการชำระเงิน: คีย์ Stripe
• ข้อมูลประจำตัวบริการอีเมล: (เช่น Mailgun, SendGrid)
• โครงสร้างพื้นฐาน: คีย์ส่วนตัว SSH, ข้อมูลประจำตัวฐานข้อมูล
• ข้อมูลการกำหนดค่า: การกำหนดค่าระยะไกลของ Git

การขโมยข้อมูลประจำตัวที่หลากหลายเช่นนี้บ่งชี้ถึงการขโมยที่ไม่ได้เจาะจงข้อมูล แต่เป็นการฉกฉวยโทเค็นการเข้าถึงที่มีค่าใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ที่ถูกบุกรุกอย่างฉวยโอกาส

ขนาดของแคมเปญ: พื้นที่เก็บข้อมูลอีกหลายพันแห่งถูกบุกรุก

ไฟล์เวิร์กโฟลว์ 583 ไฟล์ในแพ็คเกจ Packagist 10 รายการเป็นเพียงการค้นพบเบื้องต้น โดยการเปลี่ยนไปใช้ตัวบ่งชี้ของผู้โจมตี เช่น โดเมน DNSHook callback ที่ใช้ร่วมกันและรูปแบบการใช้โค้ดซ้ำ นักวิจัยค้นพบการดำเนินการที่ใหญ่กว่ามาก :

• ไฟล์เวิร์กโฟลว์ ~6,100 ไฟล์ เชื่อมโยงโดยตรงกับโครงสร้างพื้นฐานของผู้โจมตีรายแรก
• ไฟล์เวิร์กโฟลว์ ~15,000 ถึง 16,000 ไฟล์ บน GitHub ที่พบว่าตรงกับรูปแบบที่เกี่ยวข้องจากแคมเปญ

ความแตกต่างอย่างมหาศาลนี้ชี้ให้เห็นอย่างยิ่งว่าผู้โจมตีเจาะบัญชีนักพัฒนาและพื้นที่เก็บข้อมูล อีกมากมาย นอกเหนือจากบัญชี dinushchathurya เพียงบัญชีเดียว แคมเปญนี้ไม่ใช่ความล้มเหลวจากจุดเดียว แต่เป็นการดำเนินการแบบหลายบัญชีที่ประสานงานกัน Hacker News รายงานการโจมตีซัพพลายเชน Packagist ก่อนหน้านี้ในเดือนพฤษภาคม 2026 ซึ่งกระทบ 8 แพ็คเกจที่มีองค์ประกอบที่เป็นอันตรายเกี่ยวข้อง ซึ่งเน้นย้ำถึงช่องโหว่ของระบบนิเวศยิ่งขึ้น

ความเสี่ยงต่อเนื่อง: เหตุใดแคมเปญจึงอาจยังคงทำงานอยู่

แคมเปญนี้ก่อให้เกิดภัยคุกคามอย่างต่อเนื่องเนื่องจากโครงสร้างพื้นฐานของผู้โจมตียังไม่ถูกทำให้เป็นกลางทั้งหมด แคมเปญอาจดำเนินต่อไปผ่าน :

• ฟอร์กและมิเรอร์: ไฟล์เวิร์กโฟลว์ที่เป็นอันตรายอาจคงอยู่ในฟอร์กหรือสำเนามิเรอร์ของพื้นที่เก็บข้อมูลที่ถูกบุกรุก
• ภาพแคช: แคชของ GitHub เองอาจมีเวอร์ชันเวิร์กโฟลว์ที่เป็นอันตราย
• ข้อมูลประจำตัวที่ถูกขโมย: ข้อมูลประจำตัวที่ถูกขโมยไปแล้วยังคงอยู่ในครอบครองของผู้โจมตีและสามารถใช้สำหรับการเคลื่อนที่ด้านข้างหรือการโจมตีในอนาคต
• โครงสร้างพื้นฐาน C2 ที่ยังคงอยู่: เซิร์ฟเวอร์ C2 (43[.]228[.]157[.]68) อาจยังคงทำงานและรับข้อมูลอย่างแข็งขัน

แม้ว่าบัญชี Packagist ของนักพัฒนาดั้งเดิมจะถูกระงับ แต่ขนาดของไฟล์เวิร์กโฟลว์ที่ตรงกัน (มากถึง ~16,000 ไฟล์) หมายความว่าการดำเนินการมีรอยเท้าที่กว้างซึ่งยากต่อการกำจัดให้หมดสิ้น

การดำเนินการป้องกันที่จำเป็น

จากการวิเคราะห์ที่เผยแพร่ องค์กรและนักพัฒนาควรดำเนินการต่อไปนี้ทันที :

1. อัปเดต cPanel/WHM ทันที: CVE-2026-41940 ได้รับการแพตช์เมื่อวันที่ 28 เมษายน 2026 การติดตั้ง cPanel หรือ WHM ใดๆ (เวอร์ชันหลังจาก 11.40) ที่ไม่ได้รับการอัปเดตจะถูกโจมตีโดยผู้โจมตีระยะไกลที่ไม่ได้รับการตรวจสอบสิทธิ์ได้อย่างง่ายดาย นี่คือขั้นตอนที่สำคัญที่สุดเพียงขั้นตอนเดียว
2. ตรวจสอบเวิร์กโฟลว์ GitHub Actions ทั้งหมด: ตรวจสอบไฟล์เวิร์กโฟลว์ YAML ทุกไฟล์ในพื้นที่เก็บข้อมูลของคุณ โดยเฉพาะอย่างยิ่งไฟล์ที่:
   • ดาวน์โหลดและเรียกใช้ไบนารีภายนอก
   • สร้างการเชื่อมต่อเครือข่ายขาออก
   • ทำงานบนทริกเกอร์ push หรือ workflow_dispatch โดยไม่ต้องตรวจสอบด้วยตนเอง
   • มีอยู่ในสาขาการพัฒนาหรือฟีเจอร์ที่อาจถูกซิงค์โดยอัตโนมัติโดยตัวจัดการแพ็คเกจ
3. เปลี่ยนข้อมูลประจำตัวที่เปิดเผยทั้งหมด: สมมติว่าข้อมูลประจำตัวใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุกถูกขโมยไปแล้ว ซึ่งรวมถึงแต่ไม่จำกัดเพียง:
   • คีย์ผู้ให้บริการคลาวด์ (AWS, GCP, Azure)
   • โทเค็น API (OpenAI, Google, Stripe)
   • คีย์ SSH และรหัสผ่านฐานข้อมูล
   • โทเค็นการจัดการซอร์สโค้ด (GitHub, GitLab)
4. ตรวจสอบตัวบ่งชี้การบุกรุก (IOC) ที่ทราบ: ค้นหาล็อกของคุณสำหรับการเชื่อมต่อเครือข่ายไปยัง IP C2 ของผู้โจมตี (43[.]228[.]157[.]68) และโดเมน callback DNSHook ที่รู้จัก
5. เสริมความแข็งแกร่งให้กับพื้นที่เก็บข้อมูลและการจัดการแพ็คเกจ:
   • เปิดใช้งานกฎการป้องกันสาขาในสาขาการพัฒนาทั้งหมด
   • กำหนดให้มีการคอมมิตที่ลงนาม
   • หลีกเลี่ยงการซิงค์รีจิสทรีแพ็คเกจ (เช่น Packagist) โดยอัตโนมัติจากสาขาพื้นที่เก็บข้อมูลโดยไม่มีขั้นตอนการตรวจสอบ
6. ตรวจสอบเวอร์ชันการพัฒนา Packagist: เมื่อตรวจสอบการพึ่งพา ให้ตรวจสอบเวอร์ชันการพัฒนา (dev-master, dev-main) โดยเฉพาะสำหรับไฟล์ .github/workflows/ ที่ไม่คาดคิด เนื่องจากโค้ด PHP อาจสะอาดในขณะที่การโจมตีอยู่ในไฟล์กำหนดค่า CI/CD ทั้งหมด