ในปลายเดือนกรกฎาคม 2026 นักวิจัยด้านความปลอดภัยได้เปิดโปงแคมเปญโจมตีซัพพลายเชนซอฟต์แวร์และการใช้ CI/CD ในทางที่ผิดซึ่งมีขนาดอย่างที่ไม่เคยปรากฏมาก่อน ผู้โจมตีเจาะบัญชีนักพัฒนา PHP บน Packagist ซึ่งเป็นรีจิสทรีแพ็คเกจ PHP หลัก และใช้บัญชีดังกล่าวในการฉีดไฟล์เวิร์กโฟลว์ GitHub Actions ที่เป็นอันตรายหลายร้อยรายการไปยังพื้นที่เก็บข้อมูลโอเพนซอร์ส เป้าหมายไม่ใช่การติดเชื้อโค้ด PHP แต่เป็นการเปลี่ยน CI/CD รันเนอร์ฟรีของ GitHub ให้เป็นบอตเน็ตแบบใช้แล้วทิ้งและกระจายตัวสำหรับการโจมตีช่องโหว่ร้ายแรงใน cPanel และ WHM ซอฟต์แวร์ควบคุมโฮสติ้งเว็บที่ใช้กันอย่างแพร่หลาย ![]()
![]()
นี่คือรายละเอียดของแคมเปญ ช่องโหว่ที่ถูกใช้ สิ่งที่ถูกขโมย ขนาดที่แท้จริงของการดำเนินการ และมาตรการป้องกันที่คุณต้องดำเนินการทันที
แคมเปญ: เปลี่ยน GitHub Runners ให้เป็นบอตเน็ต
จุดเริ่มต้น: บัญชี Packagist ที่ถูกบุกรุก
การโจมตีเริ่มต้นจากการเจาะบัญชี Packagist ของนักพัฒนา PHP และ DevOps ที่ถูกต้องตามกฎหมายชื่อ dinushchathurya ซึ่งเกิดขึ้นระหว่างวันที่ 12 ถึง 13 กรกฎาคม 2026 ![]()
Packagist ได้รับการออกแบบให้ซิงโครไนซ์เวอร์ชันแพ็คเกจจากพื้นที่เก็บข้อมูลต้นทางโดยอัตโนมัติ ฟีเจอร์นี้ถูกใช้เป็นอาวุธ: ผู้โจมตีผลักดันเวอร์ชันพัฒนาที่เป็นอันตราย 'dev-main' ของแพ็คเกจทั้ง สิบรายการ ที่เกี่ยวข้องกับบัญชีนักพัฒนา ซึ่ง Packagist นำเข้าและทำให้พร้อมใช้งาน ![]()
![]()
แพ็คเกจทั้งสิบเป็นไลบรารี PHP ที่ถูกต้องตามกฎหมาย แต่การโจมตีไม่ได้กำหนดเป้าหมายผู้ใช้ผ่านโค้ด PHP
583 ไฟล์เวิร์กโฟลว์ที่เป็นอันตราย
แกนหลักของการโจมตีไม่ได้อยู่ในโค้ด PHP เอง ไลบรารี PHP ยังคงไม่เป็นอันตราย ไม่มีฮุกติดตั้งหรือกิจกรรมเครือข่ายที่เป็นอันตราย ![]()
แต่ผู้โจมตีกลับฉีดไฟล์เวิร์กโฟลว์ GitHub Actions ที่เป็นอันตราย 583 รายการ (.github/workflows/*.yml) เข้าไปในพื้นที่เก็บข้อมูลต้นทางของนักพัฒนา แต่ละเวอร์ชันแพ็คเกจที่ได้รับผลกระทบมีไฟล์เวิร์กโฟลว์ระหว่าง 55 ถึง 62 ไฟล์ ![]()
GitHub Actions เวิร์กโฟลว์คือไฟล์ YAML ที่กำหนดงานอัตโนมัติ เช่น การรันทดสอบหรือการปรับใช้โค้ด ผู้โจมตีนำโครงสร้างพื้นฐานอัตโนมัติที่ถูกต้องตามกฎหมายนี้ไปใช้ในทางที่ผิด
กลไกที่เป็นอันตราย
เมื่อฟอร์กหรือสำเนาของพื้นที่เก็บข้อมูลที่ถูกบุกรุกเริ่มเวิร์กโฟลว์ (เช่น เมื่อเกิดอีเวนต์ push) ไฟล์ .yml ที่เป็นอันตรายจะสั่งให้รันเนอร์ Ubuntu ที่โฮสต์โดย GitHub ![]()
:
- ตรวจจับสถาปัตยกรรม CPU ของรันเนอร์
- ดาวน์โหลดเพย์โหลดสแกนและโจมตีจากเซิร์ฟเวอร์ C2 ที่ IP
43[.]228[.]157[.]68
- สแกนอินเทอร์เน็ตหาระบบที่รันบริการ cPanel และ WHM
- โจมตีระบบที่ระบุโดยอัตโนมัติโดยใช้ช่องโหว่ด้านล่าง
- ขโมยข้อมูลที่ถูกขโมยกลับไปยังเซิร์ฟเวอร์ C2
สิ่งนี้ทำให้ทุกเวิร์กโฟลว์ที่ถูกเรียกใช้กลายเป็นโหนดสแกนและโจมตี โดยใช้โครงสร้างพื้นฐานฟรีของ GitHub เป็นแพลตฟอร์มแบบกระจายสำหรับการโจมตี ![]()
![]()
ช่องโหว่: CVE-2026-41940
เป้าหมายของแคมเปญคือ CVE-2026-41940 ช่องโหว่ร้ายแรงใน cPanel และ WebHost Manager (WHM) ![]()
![]()
- ประเภท: การข้ามการรับรองความถูกต้องก่อนการตรวจสอบสิทธิ์
![]()
![]()
- ความรุนแรง: CVSS 9.8 (ระดับวิกฤต)
![]()
![]()
- สาเหตุ: ช่องโหว่การฉีด CRLF (Carriage Return Line Feed) ในตัวจัดการการรับรองความถูกต้องพื้นฐาน
cpsrvd ![]()
![]()
ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถส่งส่วนหัว Authorization ที่ออกแบบมาเป็นพิเศษซึ่งมีอักขระขึ้นบรรทัดใหม่ดิบได้ สิ่งนี้อนุญาตให้พวกเขาฉีดคุณสมบัติตามอำเภอใจลงในไฟล์เซสชัน เช่น user=root และ ทำให้สามารถเข้าถึงอินเทอร์เฟซ WHM ในระดับรูทได้อย่างมีประสิทธิภาพโดยไม่ต้องใช้รหัสผ่านที่ถูกต้อง
สิ่งที่ถูกขโมย
เมื่อการโจมตีสำเร็จบนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุก เพย์โหลดหลังการโจมตีได้รับการออกแบบมาเพื่อเก็บเกี่ยวข้อมูลประจำตัวและความลับที่หลากหลาย เป้าหมายหลักรวมถึง ![]()
![]()
:
- ข้อมูลประจำตัวคลาวด์: คีย์ Amazon Web Services (AWS)
- โทเค็นการควบคุมแหล่งที่มา: โทเค็น GitHub, โทเค็น GitLab
- คีย์ API: คีย์ OpenAI, Google API
- การประมวลผลการชำระเงิน: คีย์ Stripe
- ข้อมูลประจำตัวบริการอีเมล: (เช่น Mailgun, SendGrid)
- โครงสร้างพื้นฐาน: คีย์ส่วนตัว SSH, ข้อมูลประจำตัวฐานข้อมูล
- ข้อมูลการกำหนดค่า: การกำหนดค่าระยะไกลของ Git
การขโมยข้อมูลประจำตัวที่หลากหลายเช่นนี้บ่งชี้ถึงการขโมยที่ไม่ได้เจาะจงข้อมูล แต่เป็นการฉกฉวยโทเค็นการเข้าถึงที่มีค่าใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ที่ถูกบุกรุกอย่างฉวยโอกาส ![]()
ขนาดของแคมเปญ: พื้นที่เก็บข้อมูลอีกหลายพันแห่งถูกบุกรุก
ไฟล์เวิร์กโฟลว์ 583 ไฟล์ในแพ็คเกจ Packagist 10 รายการเป็นเพียงการค้นพบเบื้องต้น โดยการเปลี่ยนไปใช้ตัวบ่งชี้ของผู้โจมตี เช่น โดเมน DNSHook callback ที่ใช้ร่วมกันและรูปแบบการใช้โค้ดซ้ำ นักวิจัยค้นพบการดำเนินการที่ใหญ่กว่ามาก ![]()
![]()
:
- ไฟล์เวิร์กโฟลว์ ~6,100 ไฟล์ เชื่อมโยงโดยตรงกับโครงสร้างพื้นฐานของผู้โจมตีรายแรก
![]()
- ไฟล์เวิร์กโฟลว์ ~15,000 ถึง 16,000 ไฟล์ บน GitHub ที่พบว่าตรงกับรูปแบบที่เกี่ยวข้องจากแคมเปญ
![]()
![]()
![]()
ความแตกต่างอย่างมหาศาลนี้ชี้ให้เห็นอย่างยิ่งว่าผู้โจมตีเจาะบัญชีนักพัฒนาและพื้นที่เก็บข้อมูล อีกมากมาย นอกเหนือจากบัญชี dinushchathurya เพียงบัญชีเดียว ![]()
แคมเปญนี้ไม่ใช่ความล้มเหลวจากจุดเดียว แต่เป็นการดำเนินการแบบหลายบัญชีที่ประสานงานกัน Hacker News รายงานการโจมตีซัพพลายเชน Packagist ก่อนหน้านี้ในเดือนพฤษภาคม 2026 ซึ่งกระทบ 8 แพ็คเกจที่มีองค์ประกอบที่เป็นอันตรายเกี่ยวข้อง ![]()
![]()
ซึ่งเน้นย้ำถึงช่องโหว่ของระบบนิเวศยิ่งขึ้น
ความเสี่ยงต่อเนื่อง: เหตุใดแคมเปญจึงอาจยังคงทำงานอยู่
แคมเปญนี้ก่อให้เกิดภัยคุกคามอย่างต่อเนื่องเนื่องจากโครงสร้างพื้นฐานของผู้โจมตียังไม่ถูกทำให้เป็นกลางทั้งหมด แคมเปญอาจดำเนินต่อไปผ่าน ![]()
![]()
:
- ฟอร์กและมิเรอร์: ไฟล์เวิร์กโฟลว์ที่เป็นอันตรายอาจคงอยู่ในฟอร์กหรือสำเนามิเรอร์ของพื้นที่เก็บข้อมูลที่ถูกบุกรุก
- ภาพแคช: แคชของ GitHub เองอาจมีเวอร์ชันเวิร์กโฟลว์ที่เป็นอันตราย
- ข้อมูลประจำตัวที่ถูกขโมย: ข้อมูลประจำตัวที่ถูกขโมยไปแล้วยังคงอยู่ในครอบครองของผู้โจมตีและสามารถใช้สำหรับการเคลื่อนที่ด้านข้างหรือการโจมตีในอนาคต
- โครงสร้างพื้นฐาน C2 ที่ยังคงอยู่: เซิร์ฟเวอร์ C2 (
43[.]228[.]157[.]68) อาจยังคงทำงานและรับข้อมูลอย่างแข็งขัน ![]()
แม้ว่าบัญชี Packagist ของนักพัฒนาดั้งเดิมจะถูกระงับ แต่ขนาดของไฟล์เวิร์กโฟลว์ที่ตรงกัน (มากถึง ~16,000 ไฟล์) หมายความว่าการดำเนินการมีรอยเท้าที่กว้างซึ่งยากต่อการกำจัดให้หมดสิ้น ![]()
การดำเนินการป้องกันที่จำเป็น
จากการวิเคราะห์ที่เผยแพร่ องค์กรและนักพัฒนาควรดำเนินการต่อไปนี้ทันที ![]()
![]()
![]()
![]()
:
- อัปเดต cPanel/WHM ทันที: CVE-2026-41940 ได้รับการแพตช์เมื่อวันที่ 28 เมษายน 2026 การติดตั้ง cPanel หรือ WHM ใดๆ (เวอร์ชันหลังจาก 11.40) ที่ไม่ได้รับการอัปเดตจะถูกโจมตีโดยผู้โจมตีระยะไกลที่ไม่ได้รับการตรวจสอบสิทธิ์ได้อย่างง่ายดาย นี่คือขั้นตอนที่สำคัญที่สุดเพียงขั้นตอนเดียว
- ตรวจสอบเวิร์กโฟลว์ GitHub Actions ทั้งหมด: ตรวจสอบไฟล์เวิร์กโฟลว์ YAML ทุกไฟล์ในพื้นที่เก็บข้อมูลของคุณ โดยเฉพาะอย่างยิ่งไฟล์ที่:
- ดาวน์โหลดและเรียกใช้ไบนารีภายนอก
- สร้างการเชื่อมต่อเครือข่ายขาออก
- ทำงานบนทริกเกอร์
push หรือ workflow_dispatch โดยไม่ต้องตรวจสอบด้วยตนเอง
- มีอยู่ในสาขาการพัฒนาหรือฟีเจอร์ที่อาจถูกซิงค์โดยอัตโนมัติโดยตัวจัดการแพ็คเกจ
- เปลี่ยนข้อมูลประจำตัวที่เปิดเผยทั้งหมด: สมมติว่าข้อมูลประจำตัวใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุกถูกขโมยไปแล้ว ซึ่งรวมถึงแต่ไม่จำกัดเพียง:
- คีย์ผู้ให้บริการคลาวด์ (AWS, GCP, Azure)
- โทเค็น API (OpenAI, Google, Stripe)
- คีย์ SSH และรหัสผ่านฐานข้อมูล
- โทเค็นการจัดการซอร์สโค้ด (GitHub, GitLab)
- ตรวจสอบตัวบ่งชี้การบุกรุก (IOC) ที่ทราบ: ค้นหาล็อกของคุณสำหรับการเชื่อมต่อเครือข่ายไปยัง IP C2 ของผู้โจมตี (
43[.]228[.]157[.]68) และโดเมน callback DNSHook ที่รู้จัก ![]()
- เสริมความแข็งแกร่งให้กับพื้นที่เก็บข้อมูลและการจัดการแพ็คเกจ:
- เปิดใช้งานกฎการป้องกันสาขาในสาขาการพัฒนาทั้งหมด
- กำหนดให้มีการคอมมิตที่ลงนาม
- หลีกเลี่ยงการซิงค์รีจิสทรีแพ็คเกจ (เช่น Packagist) โดยอัตโนมัติจากสาขาพื้นที่เก็บข้อมูลโดยไม่มีขั้นตอนการตรวจสอบ
![]()
- เมื่อตรวจสอบการพึ่งพา ให้ตรวจสอบเวอร์ชันการพัฒนา (dev-master, dev-main) โดยเฉพาะสำหรับไฟล์ ที่ไม่คาดคิด เนื่องจากโค้ด PHP อาจสะอาดในขณะที่การโจมตีอยู่ในไฟล์กำหนดค่า CI/CD ทั้งหมด
