Una campagna di attacco su larga scala sta trasformando repository GitHub compromessi in una vera infrastruttura distribuita per colpire server cPanel e WHM. Il punto chiave non è solo la compromissione di pacchetti, ma l’uso strategico di GitHub Actions runners come motore operativo dell’attacco.
In pratica gli aggressori inseriscono workflow malevoli nei repository, così che ogni push o avvio manuale faccia partire automaticamente runner ospitati su GitHub capaci di scaricare payload Linux e avviare scansioni su Internet.
Le modifiche sospette hanno coinvolto versioni di sviluppo pubblicate su Packagist e sincronizzate automaticamente con GitHub, interessando dieci pacchetti PHP. Tuttavia le librerie in sé non rappresentano il percorso principale di esecuzione del malware. La parte critica è la presenza di decine di file YAML di GitHub Actions aggiunti ai repository compromessi, in grado di attivare runner effimeri e difficili da attribuire, riducendo l’esposizione diretta dell’infrastruttura degli attaccanti.
Una volta avviati, i workflow rilevano l’architettura del runner, ad esempio x86 a 32 o 64 bit e ARM a 32 o 64 bit, poi scaricano un payload compatibile da un server di comando e controllo. Il payload scansiona e tenta di sfruttare CVE-2026-41940, una vulnerabilità di bypass autenticazione in cPanel e WHM che può consentire controllo elevato da remoto. Se il bersaglio risulta vulnerabile, l’attacco procede con fasi di raccolta dati e furto di credenziali.
I dati cercati includono file di configurazione, variabili di ambiente, accessi a database, materiale SSH, token Git, chiavi cloud e credenziali per servizi di pagamento e invio email. Tra i segreti potenzialmente esfiltrati compaiono anche chiavi AWS, token GitHub e GitLab, credenziali API e chiavi Stripe, SendGrid e Mailgun. I workflow inoltre inviano aggiornamenti di stato e risultati tramite richieste HTTP POST, mantenendo un canale di telemetria continuo verso gli aggressori.
Questo modello differisce dalle classiche campagne di supply chain dove il codice malevolo si attiva sui sistemi degli utenti. Qui lo sfruttamento avviene sui GitHub hosted runners, rendendo GitHub Actions uno strumento di scansione e exploitation scalabile contro server cPanel e WHM esposti e non aggiornati.