Una campaña cibernética a gran escala está abusando de GitHub Actions para convertir proyectos de código abierto en herramientas de ataque. Los atacantes insertan archivos de flujo de trabajo maliciosos en repositorios comprometidos, utilizando la capacidad de cómputo gratuita de GitHub para escanear internet en busca de objetivos vulnerables, centrándose específicamente en los servidores cPanel y WHM.

Una campaña cibernética a gran escala está abusando de GitHub Actions para convertir proyectos de código abierto confiables en armas contra servidores de alojamiento web.

Los atacantes plantan archivos de flujo de trabajo maliciosos dentro de repositorios comprometidos y utilizan la potencia de cómputo gratuita de GitHub para escanear la internet pública en busca de objetivos vulnerables.

La operación se centra en servidores cPanel y WHM, que gestionan sitios web, cuentas de correo electrónico y bases de datos de innumerables empresas. Una vez dentro de esos sistemas, el malware busca claves de la nube, credenciales de pago y tokens de control de fuentes que puedan abrir más puertas.

Analistas de Socket.dev identificaron la campaña mientras revisaban versiones de desarrollo sospechosas de Packagist vinculadas a un desarrollador de PHP legítimo.

Socket.dev afirmó en un informe que el malware real residía en los archivos de flujo de trabajo de GitHub Actions, no en el código de la propia librería PHP.

Entre el 12 y el 13 de julio de 2026, Packagist sincronizó automáticamente versiones de desarrollo maliciosas en diez paquetes vinculados a la cuenta del mantenedor comprometida.

Cada versión contenía entre 55 y 62 archivos de flujo de trabajo que lanzan ejecutores temporales de Ubuntu, descargan una carga útil (payload) de Linux y comienzan a escanear hosts vulnerables.

El impacto va mucho más allá de un solo desarrollador. Las búsquedas de código para marcadores únicos de la campaña devolvieron miles de archivos de flujo de trabajo coincidentes en repositorios no relacionados, lo que muestra un esfuerzo amplio para secuestrar canalizaciones de automatización y robar secretos a gran escala.

Abusan de GitHub Actions

La cadena de ataque comienza cuando un repositorio comprometido recibe un "push" o cuando alguien inicia un flujo de trabajo manualmente.

GitHub entonces activa un ejecutor efímero de Ubuntu que detecta su tipo de procesador y extrae una carga útil de Linux compatible desde un servidor controlado por el actor de la amenaza.

Esa carga útil escanea puertos web comunes e intenta explotar la CVE-2026-41940, un fallo de omisión de autenticación en cPanel y WHM.

Una brecha exitosa puede exponer múltiples cuentas de clientes en un solo host, junto con bases de datos, configuraciones de correo electrónico y secretos de aplicaciones que alimentan sitios web cotidianos.

Los flujos de trabajo envían señales de estado cada treinta segundos y cargan los datos robados en pequeños fragmentos a través de solicitudes HTTP POST. La salida monitorizada incluye credenciales de AWS, tokens de GitHub y GitLab, claves de API de OpenAI y Google, claves de Stripe y material de SSH.

Este patrón recuerda a casos anteriores de una GitHub Action comprometida que sifonaba secretos de integración continua de canalizaciones confiables.

Instalar los paquetes PHP relacionados no ejecuta el malware en la computadora portátil de un desarrollador. Los archivos de flujo de trabajo anidados permanecen ignorados dentro de las carpetas de proveedores después de una instalación normal.

Solo las Actions de nivel de raíz dentro de los repositorios comprometidos se convierten en el motor de ataque real, transformando los ejecutores gratuitos en escáneres.

cPanel gestiona tareas de alojamiento a nivel de cuenta, mientras que WHM se sitúa por encima y puede gestionar muchas cuentas desde un único plano de control. Esa jerarquía hace que un solo compromiso de WHM sea devastador para los proveedores de hosting y sus clientes.

Escala de la Campaña y Guía Defensiva

Los tokens de control de fuentes robados pueden alimentar más tomas de control de repositorios y expandir el daño en la cadena de suministro de software con el tiempo. Los clientes de hosting se arriesgan a la exposición de sitios web y datos privados cuando cae un solo panel de WHM.

La campaña sigue activa incluso después de que una cuenta de GitHub fuera suspendida, por lo que debes tratar la amenaza como algo continuo.

Los propietarios de repositorios deben desactivar los flujos de trabajo sospechosos, preservar los registros de Actions y rotar las credenciales de GitHub sin demora. Los equipos que gestionan la integración continua también deben revisar las aplicaciones OAuth y requerir aprobación para los cambios bajo la carpeta de flujos de trabajo.

Riesgos similares surgieron en un problema de Claude Code GitHub Actions que amenazaba con un control amplio de repositorios a través de automatizaciones no confiables.

Puedes reducir el daño limitando los permisos de los tokens, restringiendo los ejecutores autoalojados y vigilando los registros en busca de descargas de cargas útiles desde direcciones IP puras.

Los usuarios de Packagist deben evitar versiones de desarrollo no revisadas y fijar los archivos de bloqueo (lockfiles) a commits conocidos como seguros. Los operadores deben parchear cPanel y WHM rápidamente, siguiendo la guía después de que la omisión de autenticación de cPanel fuera explotada activamente en la naturaleza.

Si sospechas de un compromiso, rota cada secreto del lado del servidor e investiga sesiones no autorizadas o cambios extraños en la configuración.

Los flujos de trabajo de integración continua merecen la misma revisión cuidadosa que el código de la aplicación porque se ejecutan con acceso real a los sistemas de construcción.

Incidentes de la cadena de suministro de paquetes npm centrados en credenciales ya han demostrado lo rápido que pueden propagarse las claves de la nube robadas cuando se ignoran las advertencias.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-github-actions-to-exploit-cpanel/