史無前例的軟體供應鏈攻擊：駭客利用 GitHub Actions 建構分散式傀儡網路，鎖定 cPanel 零日漏洞（CVE-2026-41940）

583 個惡意工作流程檔

此次攻擊的核心並非 PHP 程式碼本身——這些 PHP 函式庫並未包含安裝後執行的腳本或惡意的網路活動 。攻擊者的殺手鐧是植入開發者儲存庫中的 583 個惡意 GitHub Actions 工作流程檔（位於 .github/workflows/*.yml 路徑）。每個受影響的套件版本中都包含了 55 到 62 個這類工作流程檔 。GitHub Actions 工作流程是定義自動化任務（例如執行測試或部署程式碼）的 YAML 設定檔，而攻擊者的目的正是重新利用此合法的自動化基礎設施。

惡意運作機制

一旦遭到複製（fork）或直接從被入侵的儲存庫觸發工作流程（例如透過 push 事件），這些惡意的 .yml 檔便會指示 GitHub 託管的 Ubuntu 執行器執行以下操作 ：

1. 偵測執行器的 CPU 架構。
2. 從一個位於 IP 位址 43[.]228[.]157[.]68 的命令與控制（C2）伺服器下載掃描與漏洞利用的酬載。
3. 掃描整個網際網路，尋找運行 cPanel 及 WHM 服務的系統。
4. 利用下方將詳述的漏洞自動攻擊找到的系統。
5. 將所竊取的資料回傳至 C2 伺服器。

這項機制有效地將每一個被觸發的工作流程，都變成了一個掃描與攻擊的節點。攻擊者利用 GitHub 免費的基礎設施，建立了一個龐大且分散式的攻擊平台 。

被鎖定的漏洞：CVE-2026-41940

此攻擊行動的目標是 CVE-2026-41940，這是一個存在於 cPanel 及 WebHost Manager (WHM) 中的重大漏洞 。

• 漏洞類型：預先認證階段的認證繞過 。
• 嚴重性：CVSS 分數 9.8（重大） 。
• 根本原因：cpsrvd 基本認證（Basic Authentication）處理程序中的 CRLF（Carriage Return Line Feed）注入漏洞 。未經認證的攻擊者可以發送一個包含換行字元的精心設計 Authorization 標頭。這使得他們能夠將任意屬性（例如 user=root 及 hasroot=1）注入到 session 檔案中，從而無需密碼就能獲得 WHM 介面的 root 等級管理員存取權限 。
• 修補日期：cPanel 已於 2026 年 4 月 28 日發布安全性更新 。這意味著攻擊者在發動此次攻擊行動前，有長達數個月的時間可以分析並打造漏洞利用程式。

被竊取的資料

一旦攻擊者成功入侵 cPanel/WHM 伺服器，其後續的酬載便會開始大肆竊取各類機密憑證。主要目標包含 ：

• 雲端服務憑證： 亞馬遜 AWS 金鑰。
• 版本控制權杖： GitHub Token、GitLab Token。
• API 金鑰： OpenAI、Google API 金鑰。
• 金流服務： Stripe 金鑰。
• 電子郵件服務憑證： （例如 Mailgun、SendGrid）。
• 基礎設施： SSH 私鑰、資料庫憑證。
• 設定資料： Git 遠端設定。

從如此廣泛的憑證類型來看，這是一次不論資料類型、只求盡可能竊取被入侵伺服器上任何有價值存取權杖的投機式攻擊 。

攻擊規模：數千個儲存庫遭波及

在 10 個 Packagist 套件中發現的 583 個工作流程檔，僅是整起攻擊行動的冰山一角。研究人員透過追蹤攻擊者共用的 DNSHook 回呼網域以及程式碼重用模式等指標，挖掘出規模更大的攻擊行動 ：

• 約 6,100 個工作流程檔直接與攻擊者最初使用的基礎設施相關聯 。
• 在 GitHub 上總計有約 15,000 到 16,000 個工作流程檔符合此次攻擊行動的相關模式 。

此巨大的數量差異強烈暗示，攻擊者已經入侵了遠超過 dinushchathurya 一個帳號的開發者帳號與儲存庫 。這並非單點失守的攻擊，而是一場協調、多帳號的聯合行動。此外，The Hacker News 也在稍早的報導中指出，2026 年 5 月已有另一波針對 Packagist 的供應鏈攻擊，入侵了 8 個套件，並包含相關的惡意元素 ，進一步顯示了 PHP 生態系統的脆弱性。

持續中的風險：為何攻擊可能仍在進行

此攻擊行動的威脅並未完全解除，因為攻擊者的部分基礎設施並未被完全摧毀。攻擊可能透過以下方式持續進行 ：

• 分支與鏡像： 惡意的工作流程檔可能仍存在於被入侵儲存庫的分支或鏡像中。
• 快取快照： GitHub 自身的快取中可能仍包含惡意的工作流程版本。
• 已被竊取的憑證： 已被回傳的憑證仍掌握在攻擊者手中，可用於橫向移動或發動後續攻擊。
• 殘存的 C2 基礎設施： C2 伺服器 (43[.]228[.]157[.]68) 可能仍在運作，並持續接收資料 。

儘管開發者的 Packagist 帳號已被暫停，但考量到 GitHub 上高達 16,000 個相符的工作流程檔，此攻擊行動的足跡已極為廣泛，難以完全清除 。

必要防禦措施

根據已發布的分析報告，組織與開發者應立即採取以下行動 ：

1. 立即修補 cPanel/WHM： CVE-2026-41940 已在 2026 年 4 月 28 日被修補。任何未更新的 cPanel 或 WHM 安裝（11.40 版之後的版本）都可被未經認證的遠端攻擊者輕易利用。這是當前最重要的一步。
2. 稽核所有 GitHub Actions 工作流程： 檢視您儲存庫中的所有工作流程 YAML 檔案，尤其是那些具有以下特徵者：
   • 下載並執行外部二進位檔。
   • 發起對外網路連線。
   • 設定為在 push 或 workflow_dispatch 事件觸發時自動執行。
   • 存在於可能由套件管理員自動同步的開發或功能分支中。
3. 更換所有可能曝光的憑證： 假設任何存在於被入侵 cPanel/WHM 伺服器上的憑證都已被盜。這包括但不限於：
   • 雲端供應商金鑰（AWS, GCP, Azure）。
   • API 權杖（OpenAI, Google, Stripe）。
   • SSH 金鑰及資料庫密碼。
   • 原始碼管理權杖（GitHub, GitLab）。
4. 檢查已知入侵指標（IOC）： 在您的日誌中搜尋是否曾連線至攻擊者的 C2 IP 位址（43[.]228[.]157[.]68）以及已知的 DNSHook 回呼網域 。
5. 強化儲存庫與套件管理安全性：
   • 在所有開發分支上啟用分支保護規則。
   • 要求簽署的提交（signed commits）。
   • 避免讓套件註冊中心（如 Packagist）在未經審查步驟的情況下，直接從儲存庫分支自動同步 。
6. 審查 Packagist 開發版本： 在稽核依賴套件時，特別檢查開發版本（如 dev-master, dev-main）中是否有不應出現的 .github/workflows/ 目錄及其中的檔案。因為在本次攻擊中，PHP 程式碼本身是安全的，而攻擊完全隱藏在 CI/CD 的設定檔中 。