GitHub Actions bị chiếm quyền hoạt động lại, tiếp tục chạy mã độc Mini Shai-Hulud
"Two compromised GitHub Actions, actions-cool/issues-helper and actions-cool/maintain-one-comment, were re-enabled after being disabled earlier in 2026, and their mutable release tags still pointed to malicious code from the May 2026 Mini Shai-Hulud campaign. As a result, workflows referencing those tags could silently resume executing malware that harvested CI/CD credentials and exfiltrated them, with remediation centered on removing the actions, pinning to a known-clean pre-May-18 SHA, and rotating exposed secrets."
Rủi ro chuỗi cung ứng phần mềm và CI/CD secrets bị lộ; workflow dùng tag động có thể tự động chạy lại mã độc khi upstream thay đổi trạng thái.
Có thể gây gián đoạn pipeline, phát sinh xoay vòng bí mật và điều tra sự cố; ảnh hưởng đến tốc độ phát hành và độ tin cậy của quy trình build.
Hai GitHub Actions trong kho actions-cool/issues-helper và actions-cool/maintain-one-comment đã bị vô hiệu hóa lần thứ hai sau khi được mở lại vào 16/09/2026, dù trước đó từng bị xâm nhập trong chiến dịch Mini Shai-Hulud hồi 05/2026. Vấn đề nằm ở chỗ các release tag vẫn trỏ tới mã độc cũ, nên các workflow tham chiếu theo tag có thể âm thầm tải và thực thi payload trở lại.
Theo mô tả, mã độc này được dùng để thu thập thông tin xác thực CI/CD và rò rỉ bí mật về máy chủ do kẻ tấn công kiểm soát. Sự cố cho thấy chỉ cần kho mã được mở lại mà chưa làm sạch tag, rủi ro chuỗi cung ứng phần mềm có thể tái xuất hiện mà không cần thay đổi workflow nội bộ.
Khuyến nghị cho đội ngũ phát triển là rà soát toàn bộ tham chiếu tới hai action trên, coi actions-cool/issues-helper@v2.2.1 là đã bị ảnh hưởng, chuyển sang SHA cố định đã biết là sạch trước 18/05/2026, và xoay vòng toàn bộ secrets đã lộ. Đồng thời nên kiểm tra lịch sử chạy workflow, tìm các lần chạy thành công bất thường sau giai đoạn lỗi Set up job, và audit lịch sử repository sau 16/09/2026.