LONDON (IT BOLTWISE) – Eine groß angelegte Kampagne missbraucht kompromittierte Quell-Repositories, um über GitHub Actions automatisch Runners zu starten und auf verwundbare cPanel- und WHM-Server zu zielen. Die Angreifer kombinieren dabei automatisierte Payload-Downloads mit einem Scanning- und Ausnutzungsablauf, der auf eine konkrete Schwachstelle (CVE-2026-41940) abzielt. Danach versucht das Skript, sich Zugang zu verschaffen und sammelt anschließend weitreichendensets sensible Daten wie Credentials, Konfigurationen und Tokens. Entscheidend ist: Die Auswertung und Ausführung erfolgt auf GitHub-gehosteten Runners und damit nicht direkt auf den Systemen der Paketnutzer.
Die neue Sicherheitswarnung dreht sich um einen Mechanismus, der auf den ersten Blick wie ein harmloser Teil der Softwareentwicklung wirkt: GitHub Actions. In der beschriebenen Kampagne werden kompromittierte Quell-Repositories nicht nur als Ablage missbraucht, sondern als Startpunkt für verteilte Angriffe gegen Hosting-Umgebungen. Die Forscher sehen darin eine Weiterentwicklung klassischer Paketkampagnen, bei der die „Rechenzeit“ für das eigentliche Scannen und Ausnutzen nicht auf den Endgeräten der Anwender stattfindet, sondern auf GitHub-gestarteten Build- bzw. Automation-Routern – den GitHub-hosted Runners.
Konkret greifen die Angreifer offenbar über kompromittierte Packagist-Entwicklungsstände an. Zwischen dem 12. und 13. Juli 2026 sollen für zehn Pakete, die mit dem PHP- und DevOps-Entwickler dinushchathurya verknüpft waren, automatisch bösartige Entwicklungsversionen synchronisiert worden sein. Die Liste der betroffenen Packages umfasst unter anderem „nationality-list“, „srilankan-divisional-secretariats“, „srilankan-gn-divisions“, „srilankan-mobile-number-validator“, „uk-mobile-number-validator“ und „uk-post-code“ sowie weitere Varianten im gleichen Namensraum. Laut Darstellung der Forscher ist für diese Versionen jeweils eine ungewöhnlich große Anzahl an Malware-relevanten Workflow-Dateien in den Quellbäumen enthalten: zwischen 55 und 62 YAML-Dateien pro betroffener Version, insgesamt 583 Dateien über alle zehn Pakete.
Der entscheidende technische Hebel liegt in den YAML-Workflows. Diese laufen an, sobald ein Push auf das kompromittierte Repository erfolgt oder wenn ein Workflow manuell gestartet wird. Danach wird ein GitHub-hosted Runner gestartet, und das Skript erkennt die Prozessorarchitektur des jeweiligen Systems – etwa 32-bit x86, 64-bit x86, 32-bit ARM oder 64-bit ARM. Im nächsten Schritt lädt der Workflow einen passenden Linux-Payload von einem attacker-controlled Command-and-Control-Server nach, um danach eine zielgerichtete Prüfung auf verwundbare cPanel/WHM-Instanzen vorzunehmen. Die Scanfunktion ist dabei an die Schwachstelle CVE-2026-41940 gekoppelt, die als Authentifizierungsumgehung beschrieben wird und Angreifern eine erhöhte Kontrolle über das Control Panel ermöglicht.
Nachdem die Bedingungen erfüllt sind, setzt der Payload auf dem Runner nicht nur auf das weitere Ausnutzen, sondern startet auch eine breite Datensammlung. Im beschriebenen Ablauf versucht die Schadsoftware zunächst die Authentifizierungsumgehung, um sich Zugriff zu verschaffen, und wechselt anschließend in eine „Harvesting“-Phase. Dazu zählen unter anderem Credentials, Konfigurationsdateien, Umgebungsvariablen, Datenbankzugriff, SSH-Material, Git-Tokens, Cloud-Keys sowie Zahlungsdienst-Schlüssel (etwa für Stripe) und Zugangsdaten für E-Mail-Dienste. Außerdem werden Git-Remotes sowie Ergebnisse von Remote Code Execution-Proben erfasst und per HTTP POST als Ergebnis über den laufenden Betrieb hinweg an die Angreifer zurückgemeldet. Laut den Forschern berichten die Workflows dabei fortlaufend über den Ausführungsstatus und laden gesammelte Artefakte hoch, wodurch die Angreifer den Erfolg der Kampagne live „einsammeln“ können.
Aus Security-Sicht ist das Muster besonders wirkungsvoll, weil es klassische Paketmissbrauchsszenarien invertiert. Viele Nutzer- und Abhängigkeitsangriffe zielen darauf ab, dass die schädliche Logik auf den Systemen derjenigen ausgeführt wird, die das Paket installieren. Hier hingegen läuft der zentrale Scan- und Exploit-Teil auf GitHub-hosted Runners, die aus den kompromittierten Repositories heraus gestartet werden. Das bedeutet: Selbst wenn die Paketnutzer selbst nie infiziert werden, können die Angreifer dennoch systematisch nach verwundbaren cPanel- und WHM-Installationen suchen, weil die Ausführung in einer Umgebung stattfindet, die für Angriffe skalierbar ist und nicht an einzelne Host-Setups der Opfer gebunden ist.
Die Forscher deuten außerdem auf eine größere, möglicherweise „ghost network“-artige Kampagnenstruktur hin. In dem Zusammenhang wird eine Anzahl von etwa 6.100 Workflow-Dateien erwähnt, die auf GitHub gehostet sind und jeweils einen eindeutigen DNSHook-Identifier tragen. Solche Identifier dienen in der Praxis häufig dazu, Aktivitäten zu korrelieren, Prozesse zu orchestrieren oder auch die Weiterleitung in nachgelagerte Infrastrukturketten zu steuern. Zusätzlich wird die Kampagne als opportunistische Operation zum Diebstahl von Server-seitigen Zugangsdaten eingeordnet: Die erbeuteten Informationen sollen für Folgeschritte nutzbar sein, etwa für weitere Kompromittierungen oder für Monetarisierungswege.
Der Bericht ordnet die Aktivität zudem in ein breiteres Muster mehrstufiger GitHub-basierter Angriffe ein. Parallel wird eine Kampagne mit dem Codenamen „Operation Muck and Load“ beschrieben, die ebenfalls auf eine große Zahl von Repositories und Konten setzt. Dort soll ein Netzwerk aus 200 GitHub-Repositories über 190 Accounts genutzt werden, um Windows-basierte Malware zu liefern – von Information Stealern über Loader bis hin zu Remote Access Trojans und sogar Krypto-Miner. Einige der Repositories sollen dabei als „Developer Utilities“ oder als Wallet-Integrationen getarnt sein, während im Hintergrund mehrstufige Ketten ablaufen: Aus einer Quelle wie verschlüsselten „Dead Drop“-Listen werden Skripte geladen, ein passwortgeschütztes Archiv wird heruntergeladen und daraus wird die Hauptnutzlast extrahiert. Die Beteiligung von GitHub als Infrastruktur für Lures und Staging ist hier erneut zentral.
Wenn man beide Teile zusammen betrachtet, wird klar, warum das Thema für Unternehmen mit Web-Hosting-Fokus schnell in die Prioritätenliste rutscht. Bereits der Zugriff auf die Pipeline eines Maintainers kann ausreichen, um nicht nur Schadcode zu verteilen, sondern automatisiert nach verwundbaren Servern zu suchen, Zugangsdaten zu erheben und Ergebnisse strukturiert zurückzuliefern. Für Betreiber von cPanel/WHM-Umgebungen liegt der praktische Ansatz daher weniger im Hinterherlaufen einzelner Paketversionen, sondern im konsequenten Schwachstellenmanagement gegen CVE-2026-41940, in gehärteten Access-Policies und in der Detektion ungewöhnlicher Workflow-Ausführungen, die aus scheinbar legitimen Repositories heraus starten. Zusätzlich lohnt sich eine Überprüfung der eigenen Geheimnis- und Token-Hygiene: Wer weniger Secrets in Umgebungsvariablen oder Konfigurationsdateien ablegt, reduziert unmittelbar den Schaden, selbst wenn eine Ausführungsumgebung wie ein Runner kompromittiert werden sollte.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Attacke über GitHub Actions: Scans und Credential-Diebstahl gegen cPanel/WHM" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Attacke über GitHub Actions: Scans und Credential-Diebstahl gegen cPanel/WHM" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Attacke über GitHub Actions: Scans und Credential-Diebstahl gegen cPanel/WHM« bei Google Deutschland suchen, bei Bing oder Google News!