大规模供应链攻击：黑客利用GitHub Actions构建僵尸网络，攻击cPanel服务器

583个恶意工作流文件

攻击的核心并非PHP代码本身；这些PHP库依然是无害的，没有安装钩子或恶意网络活动 。相反，攻击者向开发者的源代码仓库中注入了583个恶意GitHub Actions工作流文件（.github/workflows/*.yml）。每个受影响的包版本包含55到62个此类工作流文件 。GitHub Actions工作流是定义自动化任务（如运行测试或部署代码）的YAML文件。攻击者重新利用了这一合法的自动化基础设施。

恶意机制

一旦受感染仓库的分支或副本触发了工作流（例如，在push事件时），恶意的.yml文件会指示GitHub托管的Ubuntu运行器 ：

1. 检测运行器的CPU架构。
2. 从IP地址为43[.]228[.]157[.]68的命令与控制（C2）服务器下载扫描和利用载荷。
3. 扫描互联网，寻找运行cPanel和WHM服务的系统。
4. 利用下文详述的漏洞自动利用已识别的系统。
5. 将窃取的数据回传给C2服务器。

这实际上将每个被触发的工作流变成了一个扫描和利用节点，利用GitHub的免费基础设施作为分布式攻击平台 。

漏洞：CVE-2026-41940

此次攻击的目标是cPanel和WebHost Manager (WHM) 中的CVE-2026-41940关键漏洞 。

• 类型： 预认证认证绕过 。
• 严重性： CVSS 9.8（严重） 。
• 根本原因： cpsrvd基本认证处理器中存在CRLF（回车换行）注入漏洞 。未经认证的攻击者可以发送一个包含原始换行符的精心构造的Authorization头部。这使其能够将任意属性注入到会话文件中，例如user=root和hasroot=1，从而有效在无需有效密码的情况下获得WHM接口的root级管理访问权限 。
• 补丁日期： cPanel于2026年4月28日发布了安全更新 。这意味着攻击者在本次攻击活动开始前已有数月时间分析可用的补丁。

窃取了什么

一旦在被攻陷的cPanel/WHM服务器上成功利用漏洞，后利用载荷旨在收集广泛的凭证和秘密。主要目标包括 ：

• 云凭证： Amazon Web Services (AWS) 密钥。
• 源代码管理令牌： GitHub令牌、GitLab令牌。
• API密钥： OpenAI、Google API密钥。
• 支付处理： Stripe密钥。
• 电子邮件服务凭证： （例如，Mailgun、SendGrid）。
• 基础设施： SSH私钥、数据库凭证。
• 配置数据： Git远程配置。

窃取如此广泛的凭证表明这是一次与数据无关、机会主义地攫取受感染服务器上任何有价值访问令牌的行动 。

攻击规模：数千个更多仓库被攻陷

10个Packagist包中的583个工作流文件仅仅是初步发现。通过针对共享的DNSHook回调域名等攻击者指标和代码复用模式进行横向移动，研究人员发现了规模大得多的行动 ：

• 约6,100个工作流文件直接与相同的初始攻击者基础设施相关联 。
• GitHub上约15,000至16,000个工作流文件被发现有与该攻击活动相关的匹配模式 。

这一巨大的数量差异有力地表明，攻击者攻陷了更多开发者账户和仓库，而不仅仅是单一的dinushchathurya账户 。这次攻击并非单一节点的失败，而是一次协调的、多账户的操作。The Hacker News报道了2026年5月另一起独立的、攻陷了8个包的Packagist供应链攻击，其中包含相关的恶意元素 ，这进一步凸显了该生态系统的脆弱性。

持续风险：攻击活动为何可能依然活跃

由于攻击者的基础设施并未被完全清除，该攻击活动构成了持续的威胁。攻击活动可能通过以下方式持续下去 ：

• 分支和镜像： 恶意工作流文件可能存在于被攻陷仓库的分支或镜像副本中。
• 缓存快照： GitHub自身的缓存可能包含恶意的工作流版本。
• 被盗凭证： 已被窃取的凭证仍在攻击者手中，可用于横向移动或未来攻击。
• 幸存的C2基础设施： C2服务器（43[.]228[.]157[.]68）可能仍在运行并积极接收数据 。

尽管原始开发者的Packagist账户已被暂停，但匹配工作流文件的巨大数量（高达约16,000个）意味着该行动具有难以彻底清除的广泛足迹 。

需要采取的防御行动

基于已发布的分析，组织和开发者应立即采取以下行动 ：

1. 立即修补cPanel/WHM： CVE-2026-41940已于2026年4月28日修补。任何未更新的cPanel或WHM安装（11.40版本之后）都可能被未经认证的远程攻击者轻易利用。这是最重要的一步。
2. 审计所有GitHub Actions工作流： 检查仓库中的每个工作流YAML文件，特别是那些：
   • 下载并执行外部二进制文件的。
   • 建立出站网络连接的。
   • 在未经人工审查的push或workflow_dispatch触发器上运行的。
   • 存在于可能被包管理器自动同步的开发或功能分支中的。
3. 轮换所有暴露的凭证： 假设任何存在于被攻陷的cPanel/WHM服务器上的凭证都已被窃取。这包括但不限于：
   • 云提供商密钥（AWS、GCP、Azure）。
   • API令牌（OpenAI、Google、Stripe）。
   • SSH密钥和数据库密码。
   • 源代码管理令牌（GitHub、GitLab）。
4. 检查已知的危害指标（IOCs）： 在日志中搜索与攻击者C2 IP地址（43[.]228[.]157[.]68）和已知的DNSHook回调域名的网络连接 。
5. 强化仓库和包管理：
   • 在所有开发分支上启用分支保护规则。
   • 要求签名提交。
   • 避免在没有审查步骤的情况下直接从仓库分支自动同步包注册中心（如Packagist） 。
6. 审查Packagist开发版本： 在审计依赖项时，专门检查开发版本（dev-master、dev-main）是否存在意外的.github/workflows/文件，因为PHP代码本身可能干净，而攻击完全存在于CI/CD配置中 。