คำตอบการวิจัย
ประเด็นสำคัญ แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ ไฟล์เวิร์กโฟลว์เหล่านี้เปลี่ยน GitHub Actions Runners ให้เป็นโหนดสแกนและโจมตีแบบไม่ต้องใช้เซิร์ฟเวอร์ของตนเอง โดยกำหนดเป้าหมายไปยังช่องโหว่ CVE 2026 41940 ใน cPanel และ WHM CVE 2026 41940 เป็นช่องโหว่ข้ามการรับรองความถูกต้อง (CVSS 9.8) ที่เกิดจากการฉีด CRLF ในตัวจัดการการรับรองความถูกต้องพื้นฐานของ cPanel ได้รับแพตช์เมื่อวันที่ 28 เมษายน 2026 เพย์โหลดหลังการโจมตีจะเก็บข้อมูลประจำตัวหลากหลายประเภท รวมถึงคีย์ AWS, โทเค็น GitHub และ GitLab, คีย์ API ของ OpenAI และ Google, คีย์ Stripe, ข้อมูล SSH และฐานข้อมูล Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve Simplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com ในปลายเดือนกรกฎาคม 2026 นักวิจัยด้านความปลอดภัยได้เปิดโปงแคมเปญโจมตีซัพพลายเชนซอฟต์แวร์และการใช้ CI/CD ในทางที่ผิดซึ่งมีขนาดอย่างที่ไม่เคยปรากฏมาก่อน ผู้โจมตีเจาะบัญชีนักพัฒนา PHP บน Packagist ซึ่งเป็นรีจิสทรีแพ็คเกจ PHP หลัก และใช้บัญชีดังกล่าวในการฉีดไฟล์เวิร์กโฟลว์ GitHub Actions ที่เป็นอันตรายหลายร้อยรายการไปยังพื้นที่เก็บข้อมูลโอเพนซอร์ส เป้าหมายไม่ใช่การติดเชื้อโค้ด PHP แต่เป็นการเปลี่ยน CI/CD รันเนอร์ฟรีของ GitHub ให้เป็นบอตเน็ตแบบใช้แล้วทิ้งและกระจายตัวสำหรับการโจมตีช่องโหว่ร้ายแรงใน cPanel และ WHM ซอฟต์แวร์ควบคุมโฮสติ้งเว็บที่ใช้กันอย่างแพร่หลาย
นี่คือรายละเอียดของแคมเปญ ช่องโหว่ที่ถูกใช้ สิ่งที่ถูกขโมย ขนาดที่แท้จริงของการดำเนินการ และมาตรการป้องกันที่คุณต้องดำเนินการทันที
แคมเปญ: เปลี่ยน GitHub Runners ให้เป็นบอตเน็ต
จุดเริ่มต้น: บัญชี Packagist ที่ถูกบุกรุก
คนยังถาม คำตอบสั้น ๆ สำหรับ "ซัพพลายเชนถล่ม! 583 ไฟล์เวิร์กโฟลว์ GitHub เปลี่ยนผู้ประมวลผลให้เป็นบอตเน็ต โจมตี cPanel Zero-Day" คืออะไร แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ ไฟล์เวิร์กโฟลว์เหล่านี้เปลี่ยน GitHub Actions Runners ให้เป็นโหนดสแกนและโจมตีแบบไม่ต้องใช้เซิร์ฟเวอร์ของตนเอง โดยกำหนดเป้าหมายไปยังช่องโหว่ CVE 2026 41940 ใน cPanel และ WHM
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? CVE 2026 41940 เป็นช่องโหว่ข้ามการรับรองความถูกต้อง (CVSS 9.8) ที่เกิดจากการฉีด CRLF ในตัวจัดการการรับรองความถูกต้องพื้นฐานของ cPanel ได้รับแพตช์เมื่อวันที่ 28 เมษายน 2026
คำตอบการวิจัย
ประเด็นสำคัญ แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ ไฟล์เวิร์กโฟลว์เหล่านี้เปลี่ยน GitHub Actions Runners ให้เป็นโหนดสแกนและโจมตีแบบไม่ต้องใช้เซิร์ฟเวอร์ของตนเอง โดยกำหนดเป้าหมายไปยังช่องโหว่ CVE 2026 41940 ใน cPanel และ WHM CVE 2026 41940 เป็นช่องโหว่ข้ามการรับรองความถูกต้อง (CVSS 9.8) ที่เกิดจากการฉีด CRLF ในตัวจัดการการรับรองความถูกต้องพื้นฐานของ cPanel ได้รับแพตช์เมื่อวันที่ 28 เมษายน 2026 เพย์โหลดหลังการโจมตีจะเก็บข้อมูลประจำตัวหลากหลายประเภท รวมถึงคีย์ AWS, โทเค็น GitHub และ GitLab, คีย์ API ของ OpenAI และ Google, คีย์ Stripe, ข้อมูล SSH และฐานข้อมูล Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve Simplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com ในปลายเดือนกรกฎาคม 2026 นักวิจัยด้านความปลอดภัยได้เปิดโปงแคมเปญโจมตีซัพพลายเชนซอฟต์แวร์และการใช้ CI/CD ในทางที่ผิดซึ่งมีขนาดอย่างที่ไม่เคยปรากฏมาก่อน ผู้โจมตีเจาะบัญชีนักพัฒนา PHP บน Packagist ซึ่งเป็นรีจิสทรีแพ็คเกจ PHP หลัก และใช้บัญชีดังกล่าวในการฉีดไฟล์เวิร์กโฟลว์ GitHub Actions ที่เป็นอันตรายหลายร้อยรายการไปยังพื้นที่เก็บข้อมูลโอเพนซอร์ส เป้าหมายไม่ใช่การติดเชื้อโค้ด PHP แต่เป็นการเปลี่ยน CI/CD รันเนอร์ฟรีของ GitHub ให้เป็นบอตเน็ตแบบใช้แล้วทิ้งและกระจายตัวสำหรับการโจมตีช่องโหว่ร้ายแรงใน cPanel และ WHM ซอฟต์แวร์ควบคุมโฮสติ้งเว็บที่ใช้กันอย่างแพร่หลาย
นี่คือรายละเอียดของแคมเปญ ช่องโหว่ที่ถูกใช้ สิ่งที่ถูกขโมย ขนาดที่แท้จริงของการดำเนินการ และมาตรการป้องกันที่คุณต้องดำเนินการทันที
แคมเปญ: เปลี่ยน GitHub Runners ให้เป็นบอตเน็ต
จุดเริ่มต้น: บัญชี Packagist ที่ถูกบุกรุก
คนยังถาม คำตอบสั้น ๆ สำหรับ "ซัพพลายเชนถล่ม! 583 ไฟล์เวิร์กโฟลว์ GitHub เปลี่ยนผู้ประมวลผลให้เป็นบอตเน็ต โจมตี cPanel Zero-Day" คืออะไร แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? แคมเปญโจมตีซัพพลายเชนระดับใหญ่เปิดโปงวันที่ 22 23 กรกฎาคม 2026 แฮกเกอร์เจาะบัญชี Packagist ของนักพัฒนา PHP 'dinushchathurya' และใส่ไฟล์ GitHub Actions ที่เป็นอันตราย 583 ไฟล์ใน 10 แพ็คเกจ ไฟล์เวิร์กโฟลว์เหล่านี้เปลี่ยน GitHub Actions Runners ให้เป็นโหนดสแกนและโจมตีแบบไม่ต้องใช้เซิร์ฟเวอร์ของตนเอง โดยกำหนดเป้าหมายไปยังช่องโหว่ CVE 2026 41940 ใน cPanel และ WHM
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? CVE 2026 41940 เป็นช่องโหว่ข้ามการรับรองความถูกต้อง (CVSS 9.8) ที่เกิดจากการฉีด CRLF ในตัวจัดการการรับรองความถูกต้องพื้นฐานของ cPanel ได้รับแพตช์เมื่อวันที่ 28 เมษายน 2026
583 ไฟล์เวิร์กโฟลว์ที่เป็นอันตราย แกนหลักของการโจมตีไม่ได้อยู่ในโค้ด PHP เอง ไลบรารี PHP ยังคงไม่เป็นอันตราย ไม่มีฮุกติดตั้งหรือกิจกรรมเครือข่ายที่เป็นอันตราย .github/workflows/*.yml) เข้าไปในพื้นที่เก็บข้อมูลต้นทางของนักพัฒนา แต่ละเวอร์ชันแพ็คเกจที่ได้รับผลกระทบมีไฟล์เวิร์กโฟลว์ระหว่าง 55 ถึง 62 ไฟล์
กลไกที่เป็นอันตราย เมื่อฟอร์กหรือสำเนาของพื้นที่เก็บข้อมูลที่ถูกบุกรุกเริ่มเวิร์กโฟลว์ (เช่น เมื่อเกิดอีเวนต์ push) ไฟล์ .yml ที่เป็นอันตรายจะสั่งให้รันเนอร์ Ubuntu ที่โฮสต์โดย GitHub
ตรวจจับสถาปัตยกรรม CPU ของรันเนอร์
ดาวน์โหลดเพย์โหลดสแกนและโจมตีจากเซิร์ฟเวอร์ C2 ที่ IP 43[.]228[.]157[.]68
สแกนอินเทอร์เน็ตหาระบบที่รันบริการ cPanel และ WHM
โจมตีระบบที่ระบุโดยอัตโนมัติโดยใช้ช่องโหว่ด้านล่าง
ขโมยข้อมูลที่ถูกขโมยกลับไปยังเซิร์ฟเวอร์ C2
สิ่งนี้ทำให้ทุกเวิร์กโฟลว์ที่ถูกเรียกใช้กลายเป็นโหนดสแกนและโจมตี โดยใช้โครงสร้างพื้นฐานฟรีของ GitHub เป็นแพลตฟอร์มแบบกระจายสำหรับการโจมตี
ช่องโหว่: CVE-2026-41940 เป้าหมายของแคมเปญคือ CVE-2026-41940 ช่องโหว่ร้ายแรงใน cPanel และ WebHost Manager (WHM)
ประเภท: การข้ามการรับรองความถูกต้องก่อนการตรวจสอบสิทธิ์ ความรุนแรง: CVSS 9.8 (ระดับวิกฤต) สาเหตุ: ช่องโหว่การฉีด CRLF (Carriage Return Line Feed) ในตัวจัดการการรับรองความถูกต้องพื้นฐาน cpsrvd Authorization ที่ออกแบบมาเป็นพิเศษซึ่งมีอักขระขึ้นบรรทัดใหม่ดิบได้ สิ่งนี้อนุญาตให้พวกเขาฉีดคุณสมบัติตามอำเภอใจลงในไฟล์เซสชัน เช่น user=root และ hasroot=1 ทำให้สามารถเข้าถึงอินเทอร์เฟซ WHM ในระดับรูทได้อย่างมีประสิทธิภาพโดยไม่ต้องใช้รหัสผ่านที่ถูกต้อง วันที่แพตช์: cPanel เผยแพร่การอัปเดตความปลอดภัยในวันที่ 28 เมษายน 2026
สิ่งที่ถูกขโมย เมื่อการโจมตีสำเร็จบนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุก เพย์โหลดหลังการโจมตีได้รับการออกแบบมาเพื่อเก็บเกี่ยวข้อมูลประจำตัวและความลับที่หลากหลาย เป้าหมายหลักรวมถึง
ข้อมูลประจำตัวคลาวด์: คีย์ Amazon Web Services (AWS)โทเค็นการควบคุมแหล่งที่มา: โทเค็น GitHub, โทเค็น GitLabคีย์ API: คีย์ OpenAI, Google APIการประมวลผลการชำระเงิน: คีย์ Stripeข้อมูลประจำตัวบริการอีเมล: (เช่น Mailgun, SendGrid)โครงสร้างพื้นฐาน: คีย์ส่วนตัว SSH, ข้อมูลประจำตัวฐานข้อมูลข้อมูลการกำหนดค่า: การกำหนดค่าระยะไกลของ Git การขโมยข้อมูลประจำตัวที่หลากหลายเช่นนี้บ่งชี้ถึงการขโมยที่ไม่ได้เจาะจงข้อมูล แต่เป็นการฉกฉวยโทเค็นการเข้าถึงที่มีค่าใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ที่ถูกบุกรุกอย่างฉวยโอกาส
ขนาดของแคมเปญ: พื้นที่เก็บข้อมูลอีกหลายพันแห่งถูกบุกรุก ไฟล์เวิร์กโฟลว์ 583 ไฟล์ในแพ็คเกจ Packagist 10 รายการเป็นเพียงการค้นพบเบื้องต้น โดยการเปลี่ยนไปใช้ตัวบ่งชี้ของผู้โจมตี เช่น โดเมน DNSHook callback ที่ใช้ร่วมกันและรูปแบบการใช้โค้ดซ้ำ นักวิจัยค้นพบการดำเนินการที่ใหญ่กว่ามาก
ไฟล์เวิร์กโฟลว์ ~6,100 ไฟล์ เชื่อมโยงโดยตรงกับโครงสร้างพื้นฐานของผู้โจมตีรายแรก ไฟล์เวิร์กโฟลว์ ~15,000 ถึง 16,000 ไฟล์ บน GitHub ที่พบว่าตรงกับรูปแบบที่เกี่ยวข้องจากแคมเปญ
ความเสี่ยงต่อเนื่อง: เหตุใดแคมเปญจึงอาจยังคงทำงานอยู่ แคมเปญนี้ก่อให้เกิดภัยคุกคามอย่างต่อเนื่องเนื่องจากโครงสร้างพื้นฐานของผู้โจมตียังไม่ถูกทำให้เป็นกลางทั้งหมด แคมเปญอาจดำเนินต่อไปผ่าน
ฟอร์กและมิเรอร์: ไฟล์เวิร์กโฟลว์ที่เป็นอันตรายอาจคงอยู่ในฟอร์กหรือสำเนามิเรอร์ของพื้นที่เก็บข้อมูลที่ถูกบุกรุกภาพแคช: แคชของ GitHub เองอาจมีเวอร์ชันเวิร์กโฟลว์ที่เป็นอันตรายข้อมูลประจำตัวที่ถูกขโมย: ข้อมูลประจำตัวที่ถูกขโมยไปแล้วยังคงอยู่ในครอบครองของผู้โจมตีและสามารถใช้สำหรับการเคลื่อนที่ด้านข้างหรือการโจมตีในอนาคตโครงสร้างพื้นฐาน C2 ที่ยังคงอยู่: เซิร์ฟเวอร์ C2 (43[.]228[.]157[.]68) อาจยังคงทำงานและรับข้อมูลอย่างแข็งขัน แม้ว่าบัญชี Packagist ของนักพัฒนาดั้งเดิมจะถูกระงับ แต่ขนาดของไฟล์เวิร์กโฟลว์ที่ตรงกัน (มากถึง ~16,000 ไฟล์) หมายความว่าการดำเนินการมีรอยเท้าที่กว้างซึ่งยากต่อการกำจัดให้หมดสิ้น
การดำเนินการป้องกันที่จำเป็น
อัปเดต cPanel/WHM ทันที: CVE-2026-41940 ได้รับการแพตช์เมื่อวันที่ 28 เมษายน 2026 การติดตั้ง cPanel หรือ WHM ใดๆ (เวอร์ชันหลังจาก 11.40) ที่ไม่ได้รับการอัปเดตจะถูกโจมตีโดยผู้โจมตีระยะไกลที่ไม่ได้รับการตรวจสอบสิทธิ์ได้อย่างง่ายดาย นี่คือขั้นตอนที่สำคัญที่สุดเพียงขั้นตอนเดียวตรวจสอบเวิร์กโฟลว์ GitHub Actions ทั้งหมด: ตรวจสอบไฟล์เวิร์กโฟลว์ YAML ทุกไฟล์ในพื้นที่เก็บข้อมูลของคุณ โดยเฉพาะอย่างยิ่งไฟล์ที่:
ดาวน์โหลดและเรียกใช้ไบนารีภายนอก
สร้างการเชื่อมต่อเครือข่ายขาออก
ทำงานบนทริกเกอร์ push หรือ workflow_dispatch โดยไม่ต้องตรวจสอบด้วยตนเอง
มีอยู่ในสาขาการพัฒนาหรือฟีเจอร์ที่อาจถูกซิงค์โดยอัตโนมัติโดยตัวจัดการแพ็คเกจ
เปลี่ยนข้อมูลประจำตัวที่เปิดเผยทั้งหมด: สมมติว่าข้อมูลประจำตัวใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุกถูกขโมยไปแล้ว ซึ่งรวมถึงแต่ไม่จำกัดเพียง:
คีย์ผู้ให้บริการคลาวด์ (AWS, GCP, Azure)
โทเค็น API (OpenAI, Google, Stripe)
คีย์ SSH และรหัสผ่านฐานข้อมูล
โทเค็นการจัดการซอร์สโค้ด (GitHub, GitLab)
ตรวจสอบตัวบ่งชี้การบุกรุก (IOC) ที่ทราบ: ค้นหาล็อกของคุณสำหรับการเชื่อมต่อเครือข่ายไปยัง IP C2 ของผู้โจมตี (43[.]228[.]157[.]68) และโดเมน callback DNSHook ที่รู้จัก เสริมความแข็งแกร่งให้กับพื้นที่เก็บข้อมูลและการจัดการแพ็คเกจ:
เปิดใช้งานกฎการป้องกันสาขาในสาขาการพัฒนาทั้งหมด
กำหนดให้มีการคอมมิตที่ลงนาม
หลีกเลี่ยงการซิงค์รีจิสทรีแพ็คเกจ (เช่น Packagist) โดยอัตโนมัติจากสาขาพื้นที่เก็บข้อมูลโดยไม่มีขั้นตอนการตรวจสอบ
ตรวจสอบเวอร์ชันการพัฒนา Packagist: เมื่อตรวจสอบการพึ่งพา ให้ตรวจสอบเวอร์ชันการพัฒนา (dev-master, dev-main) โดยเฉพาะสำหรับไฟล์ .github/workflows/ ที่ไม่คาดคิด เนื่องจากโค้ด PHP อาจสะอาดในขณะที่การโจมตีอยู่ในไฟล์กำหนดค่า CI/CD ทั้งหมด nvd.nist.gov
CVE-2026-41940 Detail - NVD
583 ไฟล์เวิร์กโฟลว์ที่เป็นอันตราย แกนหลักของการโจมตีไม่ได้อยู่ในโค้ด PHP เอง ไลบรารี PHP ยังคงไม่เป็นอันตราย ไม่มีฮุกติดตั้งหรือกิจกรรมเครือข่ายที่เป็นอันตราย .github/workflows/*.yml) เข้าไปในพื้นที่เก็บข้อมูลต้นทางของนักพัฒนา แต่ละเวอร์ชันแพ็คเกจที่ได้รับผลกระทบมีไฟล์เวิร์กโฟลว์ระหว่าง 55 ถึง 62 ไฟล์
กลไกที่เป็นอันตราย เมื่อฟอร์กหรือสำเนาของพื้นที่เก็บข้อมูลที่ถูกบุกรุกเริ่มเวิร์กโฟลว์ (เช่น เมื่อเกิดอีเวนต์ push) ไฟล์ .yml ที่เป็นอันตรายจะสั่งให้รันเนอร์ Ubuntu ที่โฮสต์โดย GitHub
ตรวจจับสถาปัตยกรรม CPU ของรันเนอร์
ดาวน์โหลดเพย์โหลดสแกนและโจมตีจากเซิร์ฟเวอร์ C2 ที่ IP 43[.]228[.]157[.]68
สแกนอินเทอร์เน็ตหาระบบที่รันบริการ cPanel และ WHM
โจมตีระบบที่ระบุโดยอัตโนมัติโดยใช้ช่องโหว่ด้านล่าง
ขโมยข้อมูลที่ถูกขโมยกลับไปยังเซิร์ฟเวอร์ C2
สิ่งนี้ทำให้ทุกเวิร์กโฟลว์ที่ถูกเรียกใช้กลายเป็นโหนดสแกนและโจมตี โดยใช้โครงสร้างพื้นฐานฟรีของ GitHub เป็นแพลตฟอร์มแบบกระจายสำหรับการโจมตี
ช่องโหว่: CVE-2026-41940 เป้าหมายของแคมเปญคือ CVE-2026-41940 ช่องโหว่ร้ายแรงใน cPanel และ WebHost Manager (WHM)
ประเภท: การข้ามการรับรองความถูกต้องก่อนการตรวจสอบสิทธิ์ ความรุนแรง: CVSS 9.8 (ระดับวิกฤต) สาเหตุ: ช่องโหว่การฉีด CRLF (Carriage Return Line Feed) ในตัวจัดการการรับรองความถูกต้องพื้นฐาน cpsrvd Authorization ที่ออกแบบมาเป็นพิเศษซึ่งมีอักขระขึ้นบรรทัดใหม่ดิบได้ สิ่งนี้อนุญาตให้พวกเขาฉีดคุณสมบัติตามอำเภอใจลงในไฟล์เซสชัน เช่น user=root และ hasroot=1 ทำให้สามารถเข้าถึงอินเทอร์เฟซ WHM ในระดับรูทได้อย่างมีประสิทธิภาพโดยไม่ต้องใช้รหัสผ่านที่ถูกต้อง วันที่แพตช์: cPanel เผยแพร่การอัปเดตความปลอดภัยในวันที่ 28 เมษายน 2026
สิ่งที่ถูกขโมย เมื่อการโจมตีสำเร็จบนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุก เพย์โหลดหลังการโจมตีได้รับการออกแบบมาเพื่อเก็บเกี่ยวข้อมูลประจำตัวและความลับที่หลากหลาย เป้าหมายหลักรวมถึง
ข้อมูลประจำตัวคลาวด์: คีย์ Amazon Web Services (AWS)โทเค็นการควบคุมแหล่งที่มา: โทเค็น GitHub, โทเค็น GitLabคีย์ API: คีย์ OpenAI, Google APIการประมวลผลการชำระเงิน: คีย์ Stripeข้อมูลประจำตัวบริการอีเมล: (เช่น Mailgun, SendGrid)โครงสร้างพื้นฐาน: คีย์ส่วนตัว SSH, ข้อมูลประจำตัวฐานข้อมูลข้อมูลการกำหนดค่า: การกำหนดค่าระยะไกลของ Git การขโมยข้อมูลประจำตัวที่หลากหลายเช่นนี้บ่งชี้ถึงการขโมยที่ไม่ได้เจาะจงข้อมูล แต่เป็นการฉกฉวยโทเค็นการเข้าถึงที่มีค่าใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ที่ถูกบุกรุกอย่างฉวยโอกาส
ขนาดของแคมเปญ: พื้นที่เก็บข้อมูลอีกหลายพันแห่งถูกบุกรุก ไฟล์เวิร์กโฟลว์ 583 ไฟล์ในแพ็คเกจ Packagist 10 รายการเป็นเพียงการค้นพบเบื้องต้น โดยการเปลี่ยนไปใช้ตัวบ่งชี้ของผู้โจมตี เช่น โดเมน DNSHook callback ที่ใช้ร่วมกันและรูปแบบการใช้โค้ดซ้ำ นักวิจัยค้นพบการดำเนินการที่ใหญ่กว่ามาก
ไฟล์เวิร์กโฟลว์ ~6,100 ไฟล์ เชื่อมโยงโดยตรงกับโครงสร้างพื้นฐานของผู้โจมตีรายแรก ไฟล์เวิร์กโฟลว์ ~15,000 ถึง 16,000 ไฟล์ บน GitHub ที่พบว่าตรงกับรูปแบบที่เกี่ยวข้องจากแคมเปญ
ความเสี่ยงต่อเนื่อง: เหตุใดแคมเปญจึงอาจยังคงทำงานอยู่ แคมเปญนี้ก่อให้เกิดภัยคุกคามอย่างต่อเนื่องเนื่องจากโครงสร้างพื้นฐานของผู้โจมตียังไม่ถูกทำให้เป็นกลางทั้งหมด แคมเปญอาจดำเนินต่อไปผ่าน
ฟอร์กและมิเรอร์: ไฟล์เวิร์กโฟลว์ที่เป็นอันตรายอาจคงอยู่ในฟอร์กหรือสำเนามิเรอร์ของพื้นที่เก็บข้อมูลที่ถูกบุกรุกภาพแคช: แคชของ GitHub เองอาจมีเวอร์ชันเวิร์กโฟลว์ที่เป็นอันตรายข้อมูลประจำตัวที่ถูกขโมย: ข้อมูลประจำตัวที่ถูกขโมยไปแล้วยังคงอยู่ในครอบครองของผู้โจมตีและสามารถใช้สำหรับการเคลื่อนที่ด้านข้างหรือการโจมตีในอนาคตโครงสร้างพื้นฐาน C2 ที่ยังคงอยู่: เซิร์ฟเวอร์ C2 (43[.]228[.]157[.]68) อาจยังคงทำงานและรับข้อมูลอย่างแข็งขัน แม้ว่าบัญชี Packagist ของนักพัฒนาดั้งเดิมจะถูกระงับ แต่ขนาดของไฟล์เวิร์กโฟลว์ที่ตรงกัน (มากถึง ~16,000 ไฟล์) หมายความว่าการดำเนินการมีรอยเท้าที่กว้างซึ่งยากต่อการกำจัดให้หมดสิ้น
การดำเนินการป้องกันที่จำเป็น
อัปเดต cPanel/WHM ทันที: CVE-2026-41940 ได้รับการแพตช์เมื่อวันที่ 28 เมษายน 2026 การติดตั้ง cPanel หรือ WHM ใดๆ (เวอร์ชันหลังจาก 11.40) ที่ไม่ได้รับการอัปเดตจะถูกโจมตีโดยผู้โจมตีระยะไกลที่ไม่ได้รับการตรวจสอบสิทธิ์ได้อย่างง่ายดาย นี่คือขั้นตอนที่สำคัญที่สุดเพียงขั้นตอนเดียวตรวจสอบเวิร์กโฟลว์ GitHub Actions ทั้งหมด: ตรวจสอบไฟล์เวิร์กโฟลว์ YAML ทุกไฟล์ในพื้นที่เก็บข้อมูลของคุณ โดยเฉพาะอย่างยิ่งไฟล์ที่:
ดาวน์โหลดและเรียกใช้ไบนารีภายนอก
สร้างการเชื่อมต่อเครือข่ายขาออก
ทำงานบนทริกเกอร์ push หรือ workflow_dispatch โดยไม่ต้องตรวจสอบด้วยตนเอง
มีอยู่ในสาขาการพัฒนาหรือฟีเจอร์ที่อาจถูกซิงค์โดยอัตโนมัติโดยตัวจัดการแพ็คเกจ
เปลี่ยนข้อมูลประจำตัวที่เปิดเผยทั้งหมด: สมมติว่าข้อมูลประจำตัวใดๆ ที่มีอยู่บนเซิร์ฟเวอร์ cPanel/WHM ที่ถูกบุกรุกถูกขโมยไปแล้ว ซึ่งรวมถึงแต่ไม่จำกัดเพียง:
คีย์ผู้ให้บริการคลาวด์ (AWS, GCP, Azure)
โทเค็น API (OpenAI, Google, Stripe)
คีย์ SSH และรหัสผ่านฐานข้อมูล
โทเค็นการจัดการซอร์สโค้ด (GitHub, GitLab)
ตรวจสอบตัวบ่งชี้การบุกรุก (IOC) ที่ทราบ: ค้นหาล็อกของคุณสำหรับการเชื่อมต่อเครือข่ายไปยัง IP C2 ของผู้โจมตี (43[.]228[.]157[.]68) และโดเมน callback DNSHook ที่รู้จัก เสริมความแข็งแกร่งให้กับพื้นที่เก็บข้อมูลและการจัดการแพ็คเกจ:
เปิดใช้งานกฎการป้องกันสาขาในสาขาการพัฒนาทั้งหมด
กำหนดให้มีการคอมมิตที่ลงนาม
หลีกเลี่ยงการซิงค์รีจิสทรีแพ็คเกจ (เช่น Packagist) โดยอัตโนมัติจากสาขาพื้นที่เก็บข้อมูลโดยไม่มีขั้นตอนการตรวจสอบ
ตรวจสอบเวอร์ชันการพัฒนา Packagist: เมื่อตรวจสอบการพึ่งพา ให้ตรวจสอบเวอร์ชันการพัฒนา (dev-master, dev-main) โดยเฉพาะสำหรับไฟล์ .github/workflows/ ที่ไม่คาดคิด เนื่องจากโค้ด PHP อาจสะอาดในขณะที่การโจมตีอยู่ในไฟล์กำหนดค่า CI/CD ทั้งหมด nvd.nist.gov
CVE-2026-41940 Detail - NVD
