Investigadores de ciberseguridad han detectado una campaña a gran escala que utiliza repositorios de GitHub comprometidos para convertirlos en una infraestructura de ataque distribuida. El objetivo principal de esta operación es la explotación de instancias de cPanel y WebHost Manager (WHM), herramientas críticas para la administración de servidores web.
El mecanismo del ataque: Abuso de GitHub Actions
A diferencia de los ataques convencionales que buscan infectar los sistemas de los usuarios finales, esta campaña utiliza los GitHub-hosted runners. Los atacantes comprometieron cuentas de desarrolladores legítimos para insertar flujos de trabajo (workflows) maliciosos en sus repositorios.
Una vez que estos flujos de trabajo se activan —ya sea mediante un ‘push’ al repositorio o de forma manual—, se inician los ejecutores de GitHub. Estos descargan un payload de Linux diseñado para escanear la red en busca de servidores cPanel y WHM que sean vulnerables a la falla CVE-2026-41940.
Impacto y robo de credenciales
La vulnerabilidad CVE-2026-41940 permite un bypass de autenticación, otorgando a los atacantes un control elevado sobre el panel de administración. Una vez obtenido el acceso, el payload procede a recolectar información extremadamente sensible, incluyendo:
- Credenciales de acceso y archivos de configuración.
- Variables de entorno y tokens de Git (GitHub/GitLab).
- Claves de servicios en la nube (AWS) y APIs (OpenAI, Google).
- Credenciales de servicios de pago como Stripe.
- Información de bases de datos y claves SSH.
Una amenaza persistente en la cadena de suministro
Se estima que la campaña es mucho más amplia de lo reportado inicialmente, con más de 6,000 archivos de workflow detectados en GitHub que comparten indicadores de compromiso similares. Este incidente subraya la creciente tendencia de los atacantes a buscar métodos escalables para convertir herramientas de desarrollo ordinarias en plataformas de lanzamiento de malware.
Recomendaciones para empresas y desarrolladores
Desde el blog de Intedya, enfatizamos la importancia de asegurar la cadena de suministro de software. Para mitigar estos riesgos, las organizaciones deben:
- Implementar MFA: Garantizar que todas las cuentas de desarrolladores en plataformas como GitHub y Packagist utilicen autenticación de múltiples factores.
- Auditar Workflows: Revisar periódicamente los archivos YAML de GitHub Actions en busca de scripts o comandos no autorizados.
- Actualización de Sistemas: Asegurar que las instancias de cPanel y WHM estén actualizadas para corregir vulnerabilidades conocidas como la CVE-2026-41940.
- Monitorización de Secretos: Utilizar herramientas de escaneo de secretos para detectar si claves de API o credenciales han sido expuestas en los repositorios.
La seguridad en el desarrollo no es solo cuestión de código limpio, sino de proteger cada eslabón de la infraestructura que permite su despliegue.
Fuentes
- The Hacker News — Attackers Weaponize GitHub Actions Runners to Target cPanel and WHM Servers
https://thehackernews.com/2026/07/attackers-weaponize-github-actions.html