GitHub Actionsが悪用され攻撃インフラに、cPanelやWHMサーバーを狙う大規模キャンペーンが発覚

要点

• GitHub Actionsの実行環境を悪用し、特定の管理サーバーを探索・攻撃する大規模なサイバー攻撃が確認されました。

• 開発者のアカウントが乗っ取られ、10個のライブラリに計583個の悪意あるワークフローファイルが追加されました。

• 攻撃者は自動実行環境を利用して標的の脆弱性をスキャンし、AWSやGitHubなどの重要な認証情報を窃取しています。

• 単一の開発者にとどまらず、約6,100個の関連ワークフローファイルが確認されており、被害が広範囲に及んでいる可能性が指摘されています。

• セキュリティ企業のSocketは2026年7月23日、開発プラットフォーム「GitHub」の自動化機能を悪用した大規模なサイバー攻撃キャンペーンに関する調査結果を公表した。この攻撃は、乗っ取られたGitHubリポジトリから自動実行環境を起動させ、Webサーバー管理ツールである「cPanel」および「WHM（WebHost Manager）」を標的としてスキャンと攻撃を行うものである。従来のパッケージ自体にマルウェアを仕込む手法とは異なり、GitHubが提供する実行環境自体を攻撃の踏み台として利用している点が特徴である。

開発者のリポジトリ乗っ取りと自動化ファイルの改ざん

Socketの報告によると、2026年7月12日から13日にかけて、PHPおよびDevOps開発者である「dinushchathurya」氏が管理する10個のライブラリ（Packagistパッケージ）において、悪意ある開発バージョンが自動的に同期された。影響を受けたパッケージには、スリランカの地域情報やモバイル番号の検証ツール、英国の郵便番号検索ツールなどが含まれている。

今回の攻撃において、PHPのプログラム自体は実行経路としては機能していなかった。攻撃者は開発者のリポジトリに不正アクセスし、数十個におよぶ悪意あるGitHub Actionsのワークフローファイル（自動化処理を記述するYAML形式の設定ファイル）を追加していたという。

GitHub Actionsのランナーを攻撃用インフラへ転用

通常、悪意あるパッケージを用いたキャンペーンでは、そのパッケージを導入したユーザーのシステムが被害を受ける。しかし、今回のキャンペーンでは、パッケージの利用者の環境は直接の実行経路にはなっていない。

攻撃者は、乗っ取ったリポジトリに対してコードをプッシュする、あるいはワークフローを手動で実行することにより、GitHubがホストする「ランナー」（自動化処理を実行するための仮想環境）を起動させていた。

起動したランナーは、まず自身のプロセッサアーキテクチャ（32ビットまたは64ビットのx86、あるいはARMシステムなど）を検出し、その環境に適したLinux用スキャン・攻撃プログラム（ペイロード）を攻撃者のC2（コマンド＆コントロール）サーバーからダウンロードする。C2サーバーのIPアドレスは「43.228.157.68」であることが特定されている。

cPanel/WHMサーバーの脆弱性を狙うスキャンと情報窃取

ダウンロードされたプログラムは、インターネット上のcPanelおよびWHMサーバーを対象にスキャンを開始し、認証回避の脆弱性「CVE-2026-41940」を抱える脆弱なシステムを探索する。この脆弱性は、リモートの攻撃者が管理パネルの権限を昇格させて制御を奪うことができるものである。

脆弱性を悪用して認証を回避すると、プログラムは標的のサーバーから多様な機密情報を収集し始める。具体的には、AWS（Amazon Web Services）の資格情報、GitHubやGitLabのアクセストークン、OpenAIやGoogleのAPIキー、Stripeの決済キー、SendGridやMailgunの送信資格情報、データベースへのアクセス情報、SSHデータ、Gitのリモートリポジトリ情報などが窃取の対象となっている。

これらの実行ステータスや収集された機密情報は、HTTP POSTリクエストを通じて攻撃者に継続的に送信される仕組みになっていた。

6,000件以上のファイルに及ぶ広範なキャンペーンの影

この攻撃キャンペーンは、被害に遭った特定のPHP開発者1名だけに留まらない可能性が高い。Socketの調査では、独自の識別子「f5b0b742-240a-4811-8a5b-b0ba6060685d」を含む同様のGitHub Actionsワークフローファイルが、GitHub上に約6,100個存在していることが判明した。これは、より広範なインフラと多数のアカウントが同様の攻撃に利用されていることを示唆している。

影響を受けた10個のパッケージ開発バージョンには、それぞれ55〜62個の悪意あるワークフローファイルが埋め込まれており、その合計は583ファイルに達していた。

Socketは今回のキャンペーンを、盗み出した機密情報をさらなる不正アクセスや金銭化に利用するための「日和見主義的なサーバー側認証情報の窃取オペレーション」と表現している。なお、同社はこれと並行して、190のアカウントにまたがる200のGitHubリポジトリを悪用してWindows用マルウェアを配信する別の大規模キャンペーン「Operation Muck and Load」についても詳細を報告している。