Tấn công lợi dụng GitHub Actions Runner để quét và khai thác máy cPanel/WHM
"Attackers compromised GitHub repositories tied to a PHP/DevOps maintainer and injected malicious GitHub Actions workflows into Packagist development releases. The workflows abused GitHub-hosted runners to scan for and exploit cPanel/WHM servers vulnerable to CVE-2026-41940, then exfiltrated credentials, tokens, SSH material, cloud keys, and other secrets; the article also notes a separate GitHub-based malware distribution campaign."
Tác động lớn do kẻ tấn công dùng GitHub Actions để tự động quét và khai thác từ hạ tầng của bên thứ ba, sau đó thu thập secrets quy mô lớn. Điểm then chốt: CVE-2026-41940 cho phép chiếm quyền, và workflow báo kết quả qua HTTP POST để mở rộng tấn công.
Có thể gây gián đoạn vận hành và rủi ro rò rỉ dữ liệu khách hàng nếu máy cPanel/WHM bị xâm nhập. Điểm then chốt: thu thập token/khóa cloud làm tăng nguy cơ lan truyền, và chuỗi tấn công tự động khiến việc phát hiện/ứng phó tốn thời gian hơn.
Các nhà nghiên cứu mô tả một chiến dịch quy mô lớn biến kho GitHub bị xâm nhập thành hạ tầng tấn công tự động, nhắm tới các máy chủ cPanel và WebHost Manager (WHM). Theo phân tích, trong giai đoạn 12–13/07/2026, Packagist đã tự đồng bộ các phiên bản phát triển độc hại của 10 gói liên quan tới một maintainer PHP/DevOps hợp lệ. Các gói này chứa nhiều tệp workflow GitHub Actions: mỗi phiên bản có khoảng 55–62 workflow, tổng cộng 583 tệp trên 10 gói.
Điểm đáng chú ý là các workflow không phụ thuộc vào việc người dùng cài đặt gói. Thay vào đó, workflow được kích hoạt khi có push hoặc chạy thủ công, rồi sử dụng GitHub-hosted runners để tải payload Linux từ hạ tầng do kẻ tấn công kiểm soát (C2 tại 43.228.157[.]68). Payload tiến hành quét các máy cPanel/WHM có khả năng bị ảnh hưởng bởi CVE-2026-41940 (lỗ hổng cho phép vượt qua xác thực để chiếm quyền điều khiển).
Sau khi khai thác, mã độc tìm cách thu thập thông tin đăng nhập, biến môi trường, tệp cấu hình, SSH material, Git tokens, khóa cloud, cùng dữ liệu liên quan đến dịch vụ thanh toán và kết nối cơ sở dữ liệu. Đồng thời, kết quả được báo về qua HTTP POST.
Khuyến nghị: rà soát chuỗi cung ứng (GitHub/Packagist), kiểm tra lịch sử workflow bất thường, hạn chế quyền của token/secret trong CI/CD, và ưu tiên vá CVE-2026-41940 trên toàn bộ cPanel/WHM.