GitHub Actions Botnet’e Dönüştü: 583 Kötü Amaçlı İş Akışı ile cPanel Sıfırıncı Gün Açığı Hedef Alındı

583 Kötü Amaçlı İş Akışı Dosyası

Saldırının özü PHP kodunda değildi; PHP kütüphaneleri masum kaldı ve herhangi bir kurulum kancası ya da kötü amaçlı ağ etkinliği içermiyordu . Bunun yerine, saldırganlar geliştiricinin kaynak depolarına 583 kötü amaçlı GitHub Actions iş akışı dosyası (.github/workflows/*.yml) enjekte etti. Etkilenen her paket sürümü, 55 ila 62 arasında bu iş akışı dosyasını içeriyordu . GitHub Actions iş akışları, test çalıştırma veya kod dağıtma gibi otomatik görevleri tanımlayan YAML dosyalarıdır. Saldırganlar bu meşru otomasyon altyapısını yeniden amaçlandırdı.

Kötü Amaçlı Mekanizma

Tehlikeye giren deponun bir kopyası (fork) veya kopyası bir iş akışını tetiklediğinde (örneğin, push etkinliğinde), kötü amaçlı .yml dosyası GitHub tarafından barındırılan Ubuntu çalıştırıcısına şu talimatları veriyordu :

1. Çalıştırıcının CPU mimarisini tespit et.
2. 43[.]228[.]157[.]68 IP adresindeki bir komuta ve kontrol (C2) sunucusundan bir tarama ve sömürü yükü indir.
3. İnternette cPanel ve WHM hizmetlerini çalıştıran sistemleri tara.
4. Aşağıda detaylandırılan açığı kullanarak tespit edilen sistemleri otomatik olarak sömür.
5. Çalınan verileri C2 sunucusuna geri gönder.

Bu, tetiklenen her iş akışını etkili bir şekilde bir tarama ve sömürü düğümüne dönüştürerek GitHub'ın ücretsiz altyapısını saldırı için dağıtık bir platform olarak kullanıyordu .

Açık: CVE-2026-41940

Kampanyanın hedefi, cPanel ve WebHost Manager (WHM) yazılımındaki kritik bir güvenlik açığı olan CVE-2026-41940 idi .

• Tür: Kimlik doğrulama öncesi (pre-authentication) kimlik atlatma .
• Şiddet: CVSS 9.8 (Kritik) .
• Temel Neden: cpsrvd temel kimlik doğrulama yöneticisinde bir CRLF (Satır Başı Satır Besleme) enjeksiyonu açığı . Kimliği doğrulanmamış bir saldırgan, ham yeni satır karakterleri içeren özel hazırlanmış bir Authorization başlığı gönderebiliyordu. Bu, user=root ve hasroot=1 gibi rastgele özellikleri bir oturum dosyasına enjekte etmelerine olanak tanıyarak geçerli bir şifre olmadan WHM arayüzüne kök düzeyinde yönetici erişimi sağlıyordu .
• Yama Tarihi: cPanel, 28 Nisan 2026'da bir güvenlik güncellemesi yayınladı . Bu, saldırganların bu kampanyaya başlamadan önce analiz edebilecekleri bir yamaya birkaç ay boyunca sahip oldukları anlamına geliyor.

Ne Çalındı?

Sömürü başarılı olduğunda, sömürü sonrası yük, çok çeşitli kimlik bilgilerini ve sırları toplamak üzere tasarlanmıştı. Başlıca hedefler şunlardı :

• Bulut Kimlik Bilgileri: Amazon Web Servisleri (AWS) anahtarları.
• Kaynak Kontrol Token'ları: GitHub token'ları, GitLab token'ları.
• API Anahtarları: OpenAI, Google API anahtarları.
• Ödeme İşleme: Stripe anahtarları.
• E-posta Hizmeti Kimlik Bilgileri: (Örn. Mailgun, SendGrid).
• Altyapı: SSH özel anahtarları, veritabanı kimlik bilgileri.
• Yapılandırma Verileri: Git uzak yapılandırmaları.

Bu kadar geniş bir kimlik bilgisi yelpazesinin çalınması, saldırının veri ayrımı gözetmeksizin, tehlikeye giren sunucuda bulunan değerli erişim token'larını fırsatçı bir şekilde topladığını gösteriyor .

Kampanya Boyutu: Binlerce Depo Daha Tehlikeye Girdi

10 Packagist paketindeki 583 iş akışı dosyası sadece ilk keşifti. Saldırganlara ait ortak bir DNSHook geri çağırma alan adı ve kod tekrar kalıpları gibi göstergelerden yola çıkan araştırmacılar çok daha büyük bir operasyonu ortaya çıkardı :

• ~6.100 iş akışı dosyası doğrudan aynı saldırgan altyapısıyla ilişkilendirildi .
• GitHub genelinde ~15.000 ila 16.000 iş akışı dosyası kampanyayla ilgili kalıplarla eşleşti .

Bu büyük farklılık, saldırganların tek bir dinushchathurya hesabının ötesinde çok daha fazla geliştirici hesabını ve deposunu tehlikeye attığını güçlü bir şekilde gösteriyor . Kampanya, tek bir noktadaki başarısızlık değil, koordineli, çoklu hesap operasyonuydu. The Hacker News, Mayıs 2026'da Packagist'e yönelik 8 paketi tehlikeye atan ve ilgili kötü amaçlı öğeler içeren ayrı bir tedarik zinciri saldırısını bildirerek ekosistemin kırılganlığını bir kez daha vurguladı .

Devam Eden Risk: Kampanya Neden Hâlâ Aktif Olabilir?

Kampanya, saldırganın altyapısının tamamen etkisiz hale getirilmemesi nedeniyle kalıcı bir tehdit oluşturmaya devam ediyor. Kampanya şu yollarla devam edebilir :

• Çatallar (Fork) ve Aynalar (Mirror): Kötü amaçlı iş akışı dosyaları, tehlikeye giren depoların çatallanmış veya yansıtılmış kopyalarında varlığını sürdürebilir.
• Önbelleğe Alınmış Anlık Görüntüler (Snapshot): GitHub'ın kendi önbellekleri, kötü amaçlı iş akışı sürümlerini içerebilir.
• Çalınmış Kimlik Bilgileri: Halihazırda sızdırılmış kimlik bilgileri saldırganın elinde kalmaya devam ediyor ve yanal hareket veya gelecekteki saldırılar için kullanılabilir.
• Hayatta Kalan C2 Altyapısı: C2 sunucusu (43[.]228[.]157[.]68) hâlâ çalışır durumda olabilir ve aktif olarak veri alıyor olabilir .

Orijinal geliştiricinin Packagist hesabı askıya alınmış olsa da, eşleşen iş akışı dosyalarının büyük ölçeği (16.000'e kadar), operasyonun tamamen ortadan kaldırılması zor olan geniş bir ayak izine sahip olduğu anlamına geliyor .

Gerekli Savunma Önlemleri

Yayınlanan analizlere dayanarak, kuruluşların ve geliştiricilerin aşağıdaki adımları derhal atması gerekiyor :

1. cPanel/WHM'yi Hemen Güncelleyin: CVE-2026-41940, 28 Nisan 2026'da yamalandı. Güncellenmemiş herhangi bir cPanel veya WHM kurulumu (11.40 sonrası sürümler), kimliği doğrulanmamış uzaktaki saldırganlar tarafından önemsiz bir şekilde sömürülebilir. Bu, en önemli adımdır.
2. Tüm GitHub Actions İş Akışlarını Denetleyin: Depolarınızdaki her iş akışı YAML dosyasını, özellikle de şunları yapanları gözden geçirin:
   • Harici ikili dosyaları indirip çalıştıran.
   • Giden ağ bağlantıları kuran.
   • Manuel inceleme olmadan push veya workflow_dispatch tetikleyicilerinde çalışan.
   • Bir paket yöneticisi tarafından otomatik olarak senkronize edilebilecek geliştirme veya özellik dallarında bulunan.
3. Tehlikeye Girmiş Olabilecek Tüm Kimlik Bilgileri Döndürün: Tehlikeye girmiş bir cPanel/WHM sunucusunda bulunan herhangi bir kimlik bilgisinin çalındığını varsayın. Bu, aşağıdakileri içerir ancak bunlarla sınırlı değildir:
   • Bulut sağlayıcı anahtarları (AWS, GCP, Azure).
   • API token'ları (OpenAI, Google, Stripe).
   • SSH anahtarları ve veritabanı şifreleri.
   • Kaynak kod yönetimi token'ları (GitHub, GitLab).
4. Bilinen Tehlike Göstergelerini (IoC) Kontrol Edin: Günlüklerinizde saldırganın C2 IP adresine (43[.]228[.]157[.]68) ve bilinen DNSHook geri çağırma alan adına yapılan ağ bağlantılarını arayın .
5. Depoları ve Paket Yönetimini Güçlendirin:
   • Tüm geliştirme dallarında dal koruma kurallarını etkinleştirin.
   • İmzalı commit'ler (signed commits) gerektirin.
   • Paket kayıt defterlerini (Packagist gibi) doğrudan depo dallarından inceleme adımı olmadan otomatik senkronize etmekten kaçının .
6. Packagist Geliştirme Sürümlerini İnceleyin: Bağımlılıkları denetlerken, beklenmedik .github/workflows/ dosyaları için özellikle geliştirme sürümlerini (dev-master, dev-main) inceleyin. Çünkü PHP kodunun kendisi temiz olabilirken saldırı tamamen CI/CD yapılandırmasında yaşıyor olabilir .