GitHub Actionsの悪用を利用した大規模な攻撃キャンペーンが確認されました。この攻撃はcPanelの認証バイパス脆弱性CVE-2026-41940を悪用し、インターネットに公開されたホスティング環境からサーバー認証情報やその他の機密情報を窃取するものです。
この攻撃活動では、侵害されたGitHubリポジトリとそのActionsランナーが、分散型のスキャン・攻撃インフラへと変貌させられています。一方でPackagistのPHPパッケージは、マルウェアの実行層としてではなく、主に拡散経路として機能しています。
このキャンペーンは、正規のPHP・DevOps開発者のGitHubアカウントが侵害されるところから始まります。攻撃者は、10個のPackagistパッケージに紐づく複数のリポジトリに、悪意のあるGitHub Actionsワークフローを数十個にわたって注入しました。
これらは開発版であり、Packagistが自動的に同期を行うため、基盤となる正規のライブラリコード自体には変更を加えることなく、悪意のあるワークフローがPHPエコシステム全体に拡散する仕組みになっています。
これらのワークフローは、開発者のマシンやパッケージ利用者のシステム上で実行されるのではなく、プッシュが発生した際、あるいはワークフローが手動でトリガーされた際に、GitHubがホストするUbuntuランナー上で実行されます。これにより攻撃者は、大規模なスキャンや攻撃活動のために一時的ながらも強力な計算リソースを手に入れることになります。
2026年7月12日から13日にかけて、Packagistは10個すべてのパッケージにわたって悪意のある開発版を同期しました。各パッケージにはおよそ55〜62個のワークフローファイルが含まれており、合計583個の悪意のあるワークフローが確認されています。
これらのYAMLファイルは、GitHub Actionsに対してランナーを起動させ、そのCPUアーキテクチャを検出させたうえで、ハードコードされたコマンド&コントロール(C2)サーバーからLinux向けのペイロードをダウンロードさせるよう指示します。
このアーキテクチャにより、攻撃者は同一のワークフローを使い回してスキャンや攻撃活動を継続しながら、ペイロードを一元的に更新・差し替えることが可能になります。
これらの悪意のあるワークフローは、実行機会を最大化するために広範なトリガー条件で設定されており、任意のブランチへのプッシュ時に実行されるほか、workflow_dispatchを通じて手動でも呼び出すことができます。
各ジョブはubuntu-latestランナーを起動し、長めのタイムアウトを設定したうえで、C2サーバーへのHTTPリクエストを通じてランナーのアーキテクチャに適したペイロードのバイナリを選択します。
ペイロードのダウンロードと実行権限の付与が完了すると、ワークフローはipscanに似た引数を使ってこれを実行します。これは、インターネット全体への広範なスキャン、脆弱性の悪用、そして公開されたホスト上での認証情報の探索を目的として設計されたものです。
このペイロードのコマンドラインパラメータはcPanelおよびWHMサービスを標的としており、CVE-2026-41940の悪用を明確に試みます。この認証バイパス脆弱性により、攻撃者は有効な認証情報を持たなくても管理インターフェースにアクセスできてしまいます。
悪用が成功すると、このペイロードは侵害したシステムを体系的に探索し、価値の高いデータを収集します。対象となるのは、環境変数、設定ファイル、クラウドサービスのキー、データベース接続情報、SSHキー、Gitのリモート情報やトークン、決済処理業者の認証情報など、ホスティングサーバーによく保存されているその他の機密情報です。
この設計により、GitHub ActionsはCI/CD自動化ツールから分散型の攻撃フレームワークへと姿を変えている、とSocketは指摘しています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/github-actions-cpanel-credential-theft/
