GitHub Actions淪為黑客武器！583個惡意Workflow入侵cPanel Zero-Day漏洞，盜取AWS金鑰、GitHub Token

583個惡意Workflow檔案

呢次攻擊嘅核心唔係喺PHP代碼本身——啲PHP庫嘅代碼完全正常，冇任何安裝後門或惡意網絡活動。真正嘅攻擊係嚟自黑客注入嘅583個GitHub Actions工作流程檔案（.github/workflows/*.yml）。每個受影響嘅套件版本都包含咗55至62個呢啲檔案。GitHub Actions Workflow係用YAML寫成嘅自動化任務設定檔，原本用嚟做測試、部署等正當用途，但俾黑客重新利用咗。

惡意機制

一旦有人Fork或者複製咗受感染嘅儲存庫，並且觸發咗Workflow（例如有人推送代碼git push），呢啲惡意嘅.yml檔案就會指示GitHub託管嘅Ubuntu Runner進行以下操作：

1. 偵測Runner嘅CPU架構。
2. 從一個位於IP地址43[.]228[.]157[.]68嘅命令與控制（C2）伺服器下載掃描及攻擊Payload。
3. 掃描互聯網上運行cPanel同WHM服務嘅系統。
4. 利用下面會詳細講嘅漏洞，自動攻擊呢啲被搵到嘅系統。
5. 將偷到嘅數據傳返去C2伺服器。

呢個做法等於將每一個被觸發嘅Workflow變成一個掃描同攻擊節點，將GitHub嘅免費基建變成一個分散式嘅攻擊平台。

漏洞詳情：CVE-2026-41940

呢次攻擊嘅目標係CVE-2026-41940，一個存在於cPanel同WebHost Manager（WHM）嘅嚴重漏洞。

• 漏洞類型： 無需預先認證嘅身份驗證繞過。
• 嚴重等級： CVSS 9.8（嚴重）。
• 根本原因： 漏洞係一個存在於cpsrvd基本認證處理程序嘅CRLF（Carriage Return Line Feed，即回車換行符）注入問題。未經認證嘅攻擊者可以發送一個包含原始換行符嘅惡意Authorization標頭，從而喺Session檔案注入任意屬性，例如user=root同hasroot=1，令自己唔需要密碼就可以獲得root級別嘅WHM管理員權限。
• 修補日期： cPanel喺2026年4月28日已經發佈咗安全更新。換句話說，黑客有幾個月時間去分析呢個修補程式，然後先發動呢次攻擊。

被竊取嘅資料

一旦攻擊者成功利用漏洞入侵cPanel/WHM伺服器，佢哋嘅後續Payload就會竊取大量Credentials同機密資料。主要目標包括：

• 雲端Credentials： Amazon Web Services（AWS）金鑰。
• 源碼管理Token： GitHub Token、GitLab Token。
• API金鑰： OpenAI、Google API金鑰。
• 支付處理： Stripe金鑰。
• 電郵服務Credentials：（例如Mailgun、SendGrid）。
• 基建： SSH私鑰、數據庫Credentials。
• 配置數據： Git Remote配置。

偷取咁多唔同類型嘅Credentials，顯示黑客係採用「唔理係乜，有殺錯無放過」嘅機會主義手法，盡可能拎走受感染伺服器上所有有價值嘅存取Token。

攻擊規模：仲有成千上萬個儲存庫被入侵

最初發現嘅583個Workflow檔案只係冰山一角。研究人員透過共用嘅DNSHook回調域名同代碼重用模式等線索，搵到一個規模大得多嘅行動：

• 大約6,100個Workflow檔案直接被連接到同一個攻擊者基礎設施。
• 喺GitHub上發現大約15,000至16,000個Workflow檔案符合相關攻擊模式。

呢個巨大嘅數量差異強烈表明，黑客仲入侵咗好多其他開發者帳戶同儲存庫，而唔單單係dinushchathurya呢一個帳戶。今次攻擊唔係一次單點失守，而係一次協調、涉及多個帳戶嘅大型行動。《The Hacker News》亦都報道過2026年5月嘅另一次Packagist供應鏈攻擊，當時有8個套件受影響，並帶有相關嘅惡意元素，進一步突顯咗呢個生態系統嘅脆弱性。

持續風險：點解呢次攻擊好大可能仲進行緊

呢次攻擊構成持續威脅，因為攻擊者嘅基礎設施並未完全被瓦解。佢哋嘅行動可能會通過以下方式持續落去：

• Fork同Mirror： 惡意Workflow檔案可能仍然存在於Fork咗或Mirror咗嘅受感染儲存庫入面。
• 快取Snapshot： GitHub自己嘅快取入面可能仲有惡意Workflow版本。
• 被盜Credentials： 已經被竊取嘅Credentials仍然喺黑客手上，可以用嚟橫向移動或發動未來嘅攻擊。
• 仍然存活嘅C2基礎設施： C2伺服器（43[.]228[.]157[.]68）可能仲喺度運作緊，繼續接收資料。

雖然原始開發者嘅Packagist帳戶已經被暫停，但考慮到相關Workflow檔案嘅龐大數量（多達16,000個），呢次行動嘅足跡非常廣泛，好難完全清除。

你要即刻做嘅防禦措施

根據已發表嘅分析報告，組織同開發者應該立即採取以下行動：

1. 即刻更新cPanel/WHM： CVE-2026-41940喺2026年4月28日已經有修補程式。任何未更新嘅cPanel或WHM（版本高於11.40），未經認證嘅遠程攻擊者都可以好容易咁利用。呢一步係最最最重要嘅。
2. 審計所有GitHub Actions Workflow： 檢查你儲存庫入面嘅每一個Workflow YAML檔案，尤其係：
   • 會下載同執行外部二進制檔案嘅Workflow。
   • 會發起對外網絡連線嘅Workflow。
   • 喺push或workflow_dispatch觸發條件下執行，而無需人手審查嘅Workflow。
   • 存在於開發或功能分支，而呢啲分支可能會俾套件管理器自動同步嘅Workflow。
3. 輪換所有可能暴露嘅Credentials： 假設任何曾經存在於被入侵cPanel/WHM伺服器上嘅Credentials都已經被偷走。呢啲包括（但不限於）：
   • 雲端供應商金鑰（AWS、GCP、Azure）。
   • API Token（OpenAI、Google、Stripe）。
   • SSH金鑰同數據庫密碼。
   • 源碼管理Token（GitHub、GitLab）。
4. 檢查已知嘅入侵指標： 喺你嘅日誌入面搜尋有冇連線到攻擊者C2 IP地址（43[.]228[.]157[.]68）同已知嘅DNSHook回調域名。
5. 加固儲存庫同套件管理：
   • 為所有開發分支啟用分支保護規則。
   • 要求使用已簽署嘅Commit。
   • 避免直接將套件註冊庫（好似Packagist呢類）同你嘅儲存庫分支進行自動同步，最好加返個審查步驟。
6. 審查Packagist開發版本： 當你審計依賴項嘅時候，特別要檢查開發版本（dev-master、dev-main）有冇預期之外嘅.github/workflows/檔案。因為呢次攻擊嘅PHP代碼本身係乾淨嘅，但攻擊完全隱藏喺CI/CD配置入面。