GitHub Actions Botnet’e Dönüştü: 583 Kötü Amaçlı İş Akışı ile cPanel Sıfırıncı Gün Açığı Hedef Alındı
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş... Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıt...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş...
Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıtık bir botnet'e dönüştürerek internete açık cPanel ve WHM sunucularını taradı ve CVE 2026 41940 (CVSS 9.8) kritik açığını...
Çalınan veriler arasında AWS, GitHub, GitLab, OpenAI, Google API anahtarları, Stripe bilgileri, e posta hizmeti kimlik bilgileri, SSH anahtarları ve veritabanı şifreleri yer alıyor.
Araştırmacılar, aynı kampanyayla ilişkili 6.100 ila 16.000 arasında iş akışı dosyası tespit etti ve saldırının tek bir hesabın ötesinde, birçok hesabın ele geçirildiğini gösterdiğini belirtti.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Temmuz 2026'nın son günlerinde güvenlik araştırmacıları, benzeri görülmemiş bir yazılım tedarik zinciri ve CI/CD suistimali kampanyasını gün yüzüne çıkardı. Saldırganlar, PHP paket kayıt defteri Packagist'teki bir geliştirici hesabını ele geçirerek açık kaynaklı depolara yüzlerce kötü amaçlı GitHub Actions iş akışı dosyası enjekte etti . Amaç, PHP koduna bulaşmak değil, GitHub'ın kendi ücretsiz CI/CD çalıştırıcılarını (runner), yaygın olarak kullanılan web barındırma kontrol paneli yazılımı cPanel ve WHM'deki kritik bir açığı sömürmek için dağıtık, tek kullanımlık bir botnet'e dönüştürmekti.
İşte bu kampanyanın detayları, sömürülen açık, çalınan veriler, operasyonun gerçek boyutu ve şimdi uygulamanız gereken savunma önlemleri.
What is the short answer to "GitHub Actions Botnet’e Dönüştü: 583 Kötü Amaçlı İş Akışı ile cPanel Sıfırıncı Gün Açığı Hedef Alındı"?
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş...
What are the key points to validate first?
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş... Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıtık bir botnet'e dönüştürerek internete açık cPanel ve WHM sunucularını taradı ve CVE 2026 41940 (CVSS 9.8) kritik açığını...
What should I do next in practice?
Çalınan veriler arasında AWS, GitHub, GitLab, OpenAI, Google API anahtarları, Stripe bilgileri, e posta hizmeti kimlik bilgileri, SSH anahtarları ve veritabanı şifreleri yer alıyor.
GitHub Actions Botnet’e Dönüştü: 583 Kötü Amaçlı İş Akışı ile cPanel Sıfırıncı Gün Açığı Hedef Alındı
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş... Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıt...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş...
Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıtık bir botnet'e dönüştürerek internete açık cPanel ve WHM sunucularını taradı ve CVE 2026 41940 (CVSS 9.8) kritik açığını...
Çalınan veriler arasında AWS, GitHub, GitLab, OpenAI, Google API anahtarları, Stripe bilgileri, e posta hizmeti kimlik bilgileri, SSH anahtarları ve veritabanı şifreleri yer alıyor.
Araştırmacılar, aynı kampanyayla ilişkili 6.100 ila 16.000 arasında iş akışı dosyası tespit etti ve saldırının tek bir hesabın ötesinde, birçok hesabın ele geçirildiğini gösterdiğini belirtti.
Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deveSimplified depiction of a supply chain attack vector, similar to the campaign that weaponized GitHub Actions workflows to distribute exploits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the large-scale campaign disclosed in July 2026 in which attackers compromised a PHP deve. Article summary: Here are the confirmed facts, with sources:. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Temmuz 2026'nın son günlerinde güvenlik araştırmacıları, benzeri görülmemiş bir yazılım tedarik zinciri ve CI/CD suistimali kampanyasını gün yüzüne çıkardı. Saldırganlar, PHP paket kayıt defteri Packagist'teki bir geliştirici hesabını ele geçirerek açık kaynaklı depolara yüzlerce kötü amaçlı GitHub Actions iş akışı dosyası enjekte etti . Amaç, PHP koduna bulaşmak değil, GitHub'ın kendi ücretsiz CI/CD çalıştırıcılarını (runner), yaygın olarak kullanılan web barındırma kontrol paneli yazılımı cPanel ve WHM'deki kritik bir açığı sömürmek için dağıtık, tek kullanımlık bir botnet'e dönüştürmekti.
İşte bu kampanyanın detayları, sömürülen açık, çalınan veriler, operasyonun gerçek boyutu ve şimdi uygulamanız gereken savunma önlemleri.
What is the short answer to "GitHub Actions Botnet’e Dönüştü: 583 Kötü Amaçlı İş Akışı ile cPanel Sıfırıncı Gün Açığı Hedef Alındı"?
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş...
What are the key points to validate first?
Temmuz 2026'nın sonlarında açıklanan büyük çaplı bir tedarik zinciri saldırısında, saldırganlar PHP geliştiricisi dinushchathurya'nın Packagist hesabını ele geçirerek 10 farklı depoya 583 kötü amaçlı GitHub Actions iş... Saldırı, PHP kodunu hedef almak yerine GitHub'ın ücretsiz CI/CD çalıştırıcılarını (runner) dağıtık bir botnet'e dönüştürerek internete açık cPanel ve WHM sunucularını taradı ve CVE 2026 41940 (CVSS 9.8) kritik açığını...
What should I do next in practice?
Çalınan veriler arasında AWS, GitHub, GitLab, OpenAI, Google API anahtarları, Stripe bilgileri, e posta hizmeti kimlik bilgileri, SSH anahtarları ve veritabanı şifreleri yer alıyor.
Giriş Noktası: Ele Geçirilmiş Bir Packagist Hesabı
Saldırı, gerçek bir PHP ve DevOps geliştiricisi olan dinushchathurya'nın Packagist hesabının 12-13 Temmuz 2026 tarihleri arasında ele geçirilmesiyle başladı . Packagist, paket sürümlerini kaynak depolarından otomatik olarak senkronize edecek şekilde tasarlanmıştır. Saldırganlar bu özelliği silah haline getirdi: Geliştirici hesabıyla ilişkili 10 paketin tamamının kötü amaçlı "dev-main" geliştirme sürümlerini yayınladı ve Packagist bunları aldı . Bu 10 paket, meşru PHP kütüphaneleriydi ancak saldırı, kullanıcılarını PHP kodu aracılığıyla hedef almıyordu.
583 Kötü Amaçlı İş Akışı Dosyası
Saldırının özü PHP kodunda değildi; PHP kütüphaneleri masum kaldı ve herhangi bir kurulum kancası ya da kötü amaçlı ağ etkinliği içermiyordu . Bunun yerine, saldırganlar geliştiricinin kaynak depolarına 583 kötü amaçlı GitHub Actions iş akışı dosyası (.github/workflows/*.yml) enjekte etti. Etkilenen her paket sürümü, 55 ila 62 arasında bu iş akışı dosyasını içeriyordu . GitHub Actions iş akışları, test çalıştırma veya kod dağıtma gibi otomatik görevleri tanımlayan YAML dosyalarıdır. Saldırganlar bu meşru otomasyon altyapısını yeniden amaçlandırdı.
Kötü Amaçlı Mekanizma
Tehlikeye giren deponun bir kopyası (fork) veya kopyası bir iş akışını tetiklediğinde (örneğin, push etkinliğinde), kötü amaçlı .yml dosyası GitHub tarafından barındırılan Ubuntu çalıştırıcısına şu talimatları veriyordu :
Çalıştırıcının CPU mimarisini tespit et.
43[.]228[.]157[.]68 IP adresindeki bir komuta ve kontrol (C2) sunucusundan bir tarama ve sömürü yükü indir.
İnternette cPanel ve WHM hizmetlerini çalıştıran sistemleri tara.
Aşağıda detaylandırılan açığı kullanarak tespit edilen sistemleri otomatik olarak sömür.
Çalınan verileri C2 sunucusuna geri gönder.
Bu, tetiklenen her iş akışını etkili bir şekilde bir tarama ve sömürü düğümüne dönüştürerek GitHub'ın ücretsiz altyapısını saldırı için dağıtık bir platform olarak kullanıyordu .
Açık: CVE-2026-41940
Kampanyanın hedefi, cPanel ve WebHost Manager (WHM) yazılımındaki kritik bir güvenlik açığı olan CVE-2026-41940 idi .
Tür: Kimlik doğrulama öncesi (pre-authentication) kimlik atlatma .
Şiddet: CVSS 9.8 (Kritik) .
Temel Neden:cpsrvd temel kimlik doğrulama yöneticisinde bir CRLF (Satır Başı Satır Besleme) enjeksiyonu açığı . Kimliği doğrulanmamış bir saldırgan, ham yeni satır karakterleri içeren özel hazırlanmış bir Authorization başlığı gönderebiliyordu. Bu, user=root ve hasroot=1 gibi rastgele özellikleri bir oturum dosyasına enjekte etmelerine olanak tanıyarak geçerli bir şifre olmadan WHM arayüzüne kök düzeyinde yönetici erişimi sağlıyordu .
Yama Tarihi: cPanel, 28 Nisan 2026'da bir güvenlik güncellemesi yayınladı . Bu, saldırganların bu kampanyaya başlamadan önce analiz edebilecekleri bir yamaya birkaç ay boyunca sahip oldukları anlamına geliyor.
Ne Çalındı?
Sömürü başarılı olduğunda, sömürü sonrası yük, çok çeşitli kimlik bilgilerini ve sırları toplamak üzere tasarlanmıştı. Başlıca hedefler şunlardı :
Bulut Kimlik Bilgileri: Amazon Web Servisleri (AWS) anahtarları.
Kaynak Kontrol Token'ları: GitHub token'ları, GitLab token'ları.
API Anahtarları: OpenAI, Google API anahtarları.
Ödeme İşleme: Stripe anahtarları.
E-posta Hizmeti Kimlik Bilgileri: (Örn. Mailgun, SendGrid).
Altyapı: SSH özel anahtarları, veritabanı kimlik bilgileri.
Yapılandırma Verileri: Git uzak yapılandırmaları.
Bu kadar geniş bir kimlik bilgisi yelpazesinin çalınması, saldırının veri ayrımı gözetmeksizin, tehlikeye giren sunucuda bulunan değerli erişim token'larını fırsatçı bir şekilde topladığını gösteriyor .
Kampanya Boyutu: Binlerce Depo Daha Tehlikeye Girdi
10 Packagist paketindeki 583 iş akışı dosyası sadece ilk keşifti. Saldırganlara ait ortak bir DNSHook geri çağırma alan adı ve kod tekrar kalıpları gibi göstergelerden yola çıkan araştırmacılar çok daha büyük bir operasyonu ortaya çıkardı :
~6.100 iş akışı dosyası doğrudan aynı saldırgan altyapısıyla ilişkilendirildi .
GitHub genelinde ~15.000 ila 16.000 iş akışı dosyası kampanyayla ilgili kalıplarla eşleşti .
Bu büyük farklılık, saldırganların tek bir dinushchathurya hesabının ötesinde çok daha fazla geliştirici hesabını ve deposunu tehlikeye attığını güçlü bir şekilde gösteriyor . Kampanya, tek bir noktadaki başarısızlık değil, koordineli, çoklu hesap operasyonuydu. The Hacker News, Mayıs 2026'da Packagist'e yönelik 8 paketi tehlikeye atan ve ilgili kötü amaçlı öğeler içeren ayrı bir tedarik zinciri saldırısını bildirerek ekosistemin kırılganlığını bir kez daha vurguladı .
Devam Eden Risk: Kampanya Neden Hâlâ Aktif Olabilir?
Kampanya, saldırganın altyapısının tamamen etkisiz hale getirilmemesi nedeniyle kalıcı bir tehdit oluşturmaya devam ediyor. Kampanya şu yollarla devam edebilir :
Çatallar (Fork) ve Aynalar (Mirror): Kötü amaçlı iş akışı dosyaları, tehlikeye giren depoların çatallanmış veya yansıtılmış kopyalarında varlığını sürdürebilir.
Önbelleğe Alınmış Anlık Görüntüler (Snapshot): GitHub'ın kendi önbellekleri, kötü amaçlı iş akışı sürümlerini içerebilir.
Çalınmış Kimlik Bilgileri: Halihazırda sızdırılmış kimlik bilgileri saldırganın elinde kalmaya devam ediyor ve yanal hareket veya gelecekteki saldırılar için kullanılabilir.
Hayatta Kalan C2 Altyapısı: C2 sunucusu (43[.]228[.]157[.]68) hâlâ çalışır durumda olabilir ve aktif olarak veri alıyor olabilir .
Orijinal geliştiricinin Packagist hesabı askıya alınmış olsa da, eşleşen iş akışı dosyalarının büyük ölçeği (16.000'e kadar), operasyonun tamamen ortadan kaldırılması zor olan geniş bir ayak izine sahip olduğu anlamına geliyor .
Gerekli Savunma Önlemleri
Yayınlanan analizlere dayanarak, kuruluşların ve geliştiricilerin aşağıdaki adımları derhal atması gerekiyor :
cPanel/WHM'yi Hemen Güncelleyin: CVE-2026-41940, 28 Nisan 2026'da yamalandı. Güncellenmemiş herhangi bir cPanel veya WHM kurulumu (11.40 sonrası sürümler), kimliği doğrulanmamış uzaktaki saldırganlar tarafından önemsiz bir şekilde sömürülebilir. Bu, en önemli adımdır.
Tüm GitHub Actions İş Akışlarını Denetleyin: Depolarınızdaki her iş akışı YAML dosyasını, özellikle de şunları yapanları gözden geçirin:
Harici ikili dosyaları indirip çalıştıran.
Giden ağ bağlantıları kuran.
Manuel inceleme olmadan push veya workflow_dispatch tetikleyicilerinde çalışan.
Bir paket yöneticisi tarafından otomatik olarak senkronize edilebilecek geliştirme veya özellik dallarında bulunan.
Tehlikeye Girmiş Olabilecek Tüm Kimlik Bilgileri Döndürün: Tehlikeye girmiş bir cPanel/WHM sunucusunda bulunan herhangi bir kimlik bilgisinin çalındığını varsayın. Bu, aşağıdakileri içerir ancak bunlarla sınırlı değildir:
Bulut sağlayıcı anahtarları (AWS, GCP, Azure).
API token'ları (OpenAI, Google, Stripe).
SSH anahtarları ve veritabanı şifreleri.
Kaynak kod yönetimi token'ları (GitHub, GitLab).
Bilinen Tehlike Göstergelerini (IoC) Kontrol Edin: Günlüklerinizde saldırganın C2 IP adresine (43[.]228[.]157[.]68) ve bilinen DNSHook geri çağırma alan adına yapılan ağ bağlantılarını arayın .
Depoları ve Paket Yönetimini Güçlendirin:
Tüm geliştirme dallarında dal koruma kurallarını etkinleştirin.
İmzalı commit'ler (signed commits) gerektirin.
Paket kayıt defterlerini (Packagist gibi) doğrudan depo dallarından inceleme adımı olmadan otomatik senkronize etmekten kaçının .
Packagist Geliştirme Sürümlerini İnceleyin: Bağımlılıkları denetlerken, beklenmedik .github/workflows/ dosyaları için özellikle geliştirme sürümlerini (dev-master, dev-main) inceleyin. Çünkü PHP kodunun kendisi temiz olabilirken saldırı tamamen CI/CD yapılandırmasında yaşıyor olabilir .
Giriş Noktası: Ele Geçirilmiş Bir Packagist Hesabı
Saldırı, gerçek bir PHP ve DevOps geliştiricisi olan dinushchathurya'nın Packagist hesabının 12-13 Temmuz 2026 tarihleri arasında ele geçirilmesiyle başladı . Packagist, paket sürümlerini kaynak depolarından otomatik olarak senkronize edecek şekilde tasarlanmıştır. Saldırganlar bu özelliği silah haline getirdi: Geliştirici hesabıyla ilişkili 10 paketin tamamının kötü amaçlı "dev-main" geliştirme sürümlerini yayınladı ve Packagist bunları aldı . Bu 10 paket, meşru PHP kütüphaneleriydi ancak saldırı, kullanıcılarını PHP kodu aracılığıyla hedef almıyordu.
583 Kötü Amaçlı İş Akışı Dosyası
Saldırının özü PHP kodunda değildi; PHP kütüphaneleri masum kaldı ve herhangi bir kurulum kancası ya da kötü amaçlı ağ etkinliği içermiyordu . Bunun yerine, saldırganlar geliştiricinin kaynak depolarına 583 kötü amaçlı GitHub Actions iş akışı dosyası (.github/workflows/*.yml) enjekte etti. Etkilenen her paket sürümü, 55 ila 62 arasında bu iş akışı dosyasını içeriyordu . GitHub Actions iş akışları, test çalıştırma veya kod dağıtma gibi otomatik görevleri tanımlayan YAML dosyalarıdır. Saldırganlar bu meşru otomasyon altyapısını yeniden amaçlandırdı.
Kötü Amaçlı Mekanizma
Tehlikeye giren deponun bir kopyası (fork) veya kopyası bir iş akışını tetiklediğinde (örneğin, push etkinliğinde), kötü amaçlı .yml dosyası GitHub tarafından barındırılan Ubuntu çalıştırıcısına şu talimatları veriyordu :
Çalıştırıcının CPU mimarisini tespit et.
43[.]228[.]157[.]68 IP adresindeki bir komuta ve kontrol (C2) sunucusundan bir tarama ve sömürü yükü indir.
İnternette cPanel ve WHM hizmetlerini çalıştıran sistemleri tara.
Aşağıda detaylandırılan açığı kullanarak tespit edilen sistemleri otomatik olarak sömür.
Çalınan verileri C2 sunucusuna geri gönder.
Bu, tetiklenen her iş akışını etkili bir şekilde bir tarama ve sömürü düğümüne dönüştürerek GitHub'ın ücretsiz altyapısını saldırı için dağıtık bir platform olarak kullanıyordu .
Açık: CVE-2026-41940
Kampanyanın hedefi, cPanel ve WebHost Manager (WHM) yazılımındaki kritik bir güvenlik açığı olan CVE-2026-41940 idi .
Tür: Kimlik doğrulama öncesi (pre-authentication) kimlik atlatma .
Şiddet: CVSS 9.8 (Kritik) .
Temel Neden:cpsrvd temel kimlik doğrulama yöneticisinde bir CRLF (Satır Başı Satır Besleme) enjeksiyonu açığı . Kimliği doğrulanmamış bir saldırgan, ham yeni satır karakterleri içeren özel hazırlanmış bir Authorization başlığı gönderebiliyordu. Bu, user=root ve hasroot=1 gibi rastgele özellikleri bir oturum dosyasına enjekte etmelerine olanak tanıyarak geçerli bir şifre olmadan WHM arayüzüne kök düzeyinde yönetici erişimi sağlıyordu .
Yama Tarihi: cPanel, 28 Nisan 2026'da bir güvenlik güncellemesi yayınladı . Bu, saldırganların bu kampanyaya başlamadan önce analiz edebilecekleri bir yamaya birkaç ay boyunca sahip oldukları anlamına geliyor.
Ne Çalındı?
Sömürü başarılı olduğunda, sömürü sonrası yük, çok çeşitli kimlik bilgilerini ve sırları toplamak üzere tasarlanmıştı. Başlıca hedefler şunlardı :
Bulut Kimlik Bilgileri: Amazon Web Servisleri (AWS) anahtarları.
Kaynak Kontrol Token'ları: GitHub token'ları, GitLab token'ları.
API Anahtarları: OpenAI, Google API anahtarları.
Ödeme İşleme: Stripe anahtarları.
E-posta Hizmeti Kimlik Bilgileri: (Örn. Mailgun, SendGrid).
Altyapı: SSH özel anahtarları, veritabanı kimlik bilgileri.
Yapılandırma Verileri: Git uzak yapılandırmaları.
Bu kadar geniş bir kimlik bilgisi yelpazesinin çalınması, saldırının veri ayrımı gözetmeksizin, tehlikeye giren sunucuda bulunan değerli erişim token'larını fırsatçı bir şekilde topladığını gösteriyor .
Kampanya Boyutu: Binlerce Depo Daha Tehlikeye Girdi
10 Packagist paketindeki 583 iş akışı dosyası sadece ilk keşifti. Saldırganlara ait ortak bir DNSHook geri çağırma alan adı ve kod tekrar kalıpları gibi göstergelerden yola çıkan araştırmacılar çok daha büyük bir operasyonu ortaya çıkardı :
~6.100 iş akışı dosyası doğrudan aynı saldırgan altyapısıyla ilişkilendirildi .
GitHub genelinde ~15.000 ila 16.000 iş akışı dosyası kampanyayla ilgili kalıplarla eşleşti .
Bu büyük farklılık, saldırganların tek bir dinushchathurya hesabının ötesinde çok daha fazla geliştirici hesabını ve deposunu tehlikeye attığını güçlü bir şekilde gösteriyor . Kampanya, tek bir noktadaki başarısızlık değil, koordineli, çoklu hesap operasyonuydu. The Hacker News, Mayıs 2026'da Packagist'e yönelik 8 paketi tehlikeye atan ve ilgili kötü amaçlı öğeler içeren ayrı bir tedarik zinciri saldırısını bildirerek ekosistemin kırılganlığını bir kez daha vurguladı .
Devam Eden Risk: Kampanya Neden Hâlâ Aktif Olabilir?
Kampanya, saldırganın altyapısının tamamen etkisiz hale getirilmemesi nedeniyle kalıcı bir tehdit oluşturmaya devam ediyor. Kampanya şu yollarla devam edebilir :
Çatallar (Fork) ve Aynalar (Mirror): Kötü amaçlı iş akışı dosyaları, tehlikeye giren depoların çatallanmış veya yansıtılmış kopyalarında varlığını sürdürebilir.
Önbelleğe Alınmış Anlık Görüntüler (Snapshot): GitHub'ın kendi önbellekleri, kötü amaçlı iş akışı sürümlerini içerebilir.
Çalınmış Kimlik Bilgileri: Halihazırda sızdırılmış kimlik bilgileri saldırganın elinde kalmaya devam ediyor ve yanal hareket veya gelecekteki saldırılar için kullanılabilir.
Hayatta Kalan C2 Altyapısı: C2 sunucusu (43[.]228[.]157[.]68) hâlâ çalışır durumda olabilir ve aktif olarak veri alıyor olabilir .
Orijinal geliştiricinin Packagist hesabı askıya alınmış olsa da, eşleşen iş akışı dosyalarının büyük ölçeği (16.000'e kadar), operasyonun tamamen ortadan kaldırılması zor olan geniş bir ayak izine sahip olduğu anlamına geliyor .
Gerekli Savunma Önlemleri
Yayınlanan analizlere dayanarak, kuruluşların ve geliştiricilerin aşağıdaki adımları derhal atması gerekiyor :
cPanel/WHM'yi Hemen Güncelleyin: CVE-2026-41940, 28 Nisan 2026'da yamalandı. Güncellenmemiş herhangi bir cPanel veya WHM kurulumu (11.40 sonrası sürümler), kimliği doğrulanmamış uzaktaki saldırganlar tarafından önemsiz bir şekilde sömürülebilir. Bu, en önemli adımdır.
Tüm GitHub Actions İş Akışlarını Denetleyin: Depolarınızdaki her iş akışı YAML dosyasını, özellikle de şunları yapanları gözden geçirin:
Harici ikili dosyaları indirip çalıştıran.
Giden ağ bağlantıları kuran.
Manuel inceleme olmadan push veya workflow_dispatch tetikleyicilerinde çalışan.
Bir paket yöneticisi tarafından otomatik olarak senkronize edilebilecek geliştirme veya özellik dallarında bulunan.
Tehlikeye Girmiş Olabilecek Tüm Kimlik Bilgileri Döndürün: Tehlikeye girmiş bir cPanel/WHM sunucusunda bulunan herhangi bir kimlik bilgisinin çalındığını varsayın. Bu, aşağıdakileri içerir ancak bunlarla sınırlı değildir:
Bulut sağlayıcı anahtarları (AWS, GCP, Azure).
API token'ları (OpenAI, Google, Stripe).
SSH anahtarları ve veritabanı şifreleri.
Kaynak kod yönetimi token'ları (GitHub, GitLab).
Bilinen Tehlike Göstergelerini (IoC) Kontrol Edin: Günlüklerinizde saldırganın C2 IP adresine (43[.]228[.]157[.]68) ve bilinen DNSHook geri çağırma alan adına yapılan ağ bağlantılarını arayın .
Depoları ve Paket Yönetimini Güçlendirin:
Tüm geliştirme dallarında dal koruma kurallarını etkinleştirin.
İmzalı commit'ler (signed commits) gerektirin.
Paket kayıt defterlerini (Packagist gibi) doğrudan depo dallarından inceleme adımı olmadan otomatik senkronize etmekten kaçının .
Packagist Geliştirme Sürümlerini İnceleyin: Bağımlılıkları denetlerken, beklenmedik .github/workflows/ dosyaları için özellikle geliştirme sürümlerini (dev-master, dev-main) inceleyin. Çünkü PHP kodunun kendisi temiz olabilirken saldırı tamamen CI/CD yapılandırmasında yaşıyor olabilir .
