侵害されたGitHub Actionsが修正なしで再公開、マルウェア「Mini Shai-Hulud」の実行が再開

要点

• 2026年5月に侵害されて停止していた2つのGitHub Actionsリポジトリが、9月16日に一時的に再公開された。

• リポジトリ内のタグから不正コードが削除されていなかったため、タグ参照していたワークフローでマルウェアの実行が再開した。

• 不正コードはCI/CD環境から認証情報を窃取するもので、「Mini Shai-Hulud」による一連の攻撃活動と関連付けられている。

• 現在リポジトリは再び無効化されており、専門家はSHAによるバージョン固定やシークレットの再発行を呼びかけている。

• 過去にサプライチェーン攻撃を受けて無効化されていたサードパーティ製のGitHub Actionsリポジトリが、悪意あるコードが残された状態で一時的にアクセス可能となり、マルウェアの実行が再開されていたことが明らかになった。セキュリティ企業Socketの研究者が報告し、セキュリティ専門メディア「The Hacker News」が2026年9月25日に報じた。問題のリポジトリは現在、GitHubによって再び無効化されている。

不正コードが残ったままリポジトリが一時的に再公開

対象となったのは、GitHub Actions（CI/CDなどの自動化処理を実行する機能）向けのリポジトリ「actions-cool/issues-helper」および「actions-cool/maintain-one-comment」の2件だ。これらは2026年5月に発生した「Mini Shai-Hulud」キャンペーンで侵害され、その後GitHubの利用規約違反としてアクセスが無効化されていた。

しかし、2026年9月16日（GMT+2の11時9分から18時16分の間）に、原因は不明ながら両リポジトリが再びアクセス可能な状態に戻っていたことが確認された。

Socketの研究者であるKarlo Zanki氏によると、再公開された際、リポジトリのリリースタグが事前にクリーンアップされていなかったという。その結果、バージョンタグでこれらのアクションを指定していたワークフローは、次回の実行時に2026年5月18日に混入した悪意あるペイロード（実行プログラム）を再びダウンロードして実行する状態となっていた。

機密情報を外部送信する「Mini Shai-Hulud」の活動

これら2つのアクションは、2026年5月18日の初回侵害時に、CI/CD（ソフトウェアのビルドやテストを自動化する仕組み）のパイプラインから機密性の高い認証情報を収集し、攻撃者が管理するサーバーへ外部送信する不正コードが埋め込まれていた。

Socketで脅威インテリジェンス責任者を務めるPhilipp Burckhardt氏によると、情報送信先ドメイン（t.m-kosche[.]com）は、npmパッケージ「@antv」エコシステムを標的とした攻撃で使われたものと一致している。このことから、単独のnpm侵害ではなく「Mini Shai-Hulud」と呼ばれる同一の攻撃活動クラスターによるものと特定されている。

なお、現在両リポジトリを閲覧すると、GitHubスタッフにより利用規約違反としてアクセスが無効化された旨のメッセージが表示される。

攻撃者の新規活動なしにサプライチェーンリスクが再発

Socketは、今回の事態が重大なソフトウェアサプライチェーンリスクを引き起こしたと指摘している。攻撃者が新たな脆弱性を悪用したりインフラを構築したりすることなく、単にリポジトリが再公開されただけで脅威が復活したためだ。

影響を受けた2つのアクションは、放置されたIssueのクローズや新規Issueの確認、Botコメントの更新など、日常的な管理作業を自動化する用途で広く使われていた。これらを呼び出すワークフローは日次スケジュールやIssue・プルリクエストの作成時に実行されることが多いため、再公開から1日以内に多くのリポジトリで意図せず不正コードが実行された可能性が高いという。

推奨される対応とSHA固定の重要性

本問題は、2026年5月18日以前の安全な完全コミットSHA（変更不能な一意の識別子）でバージョンを固定していたワークフローには影響しない。一方で、可変なバージョンタグで指定していた開発者に対し、以下の手順を実施することが推奨されている。

• 影響を受けるアクションの参照箇所を特定し、「actions-cool/issues-helper@v2.2.1」などを侵害された版として扱う。
• 当該アクションを削除するか、2026年5月18日以前の安全なコミットSHAで固定する。
• CI/CDパイプラインで露出したすべての認証情報（シークレット）を再発行（ローテーション）する。
• ワークフローの実行履歴を確認し、ジョブのセットアップ失敗が続いていたものが突然成功していないか検証する。
• 2026年9月16日以降のリポジトリ履歴を監査し、予期しないコミットがないか確認する。

SocketのZanki氏は、一般的なサプライチェーン攻撃とは異なり、今回は新規コードの公開や設定変更が一切なかったと説明する。変更可能なタグに依存していると、一度封じ込められた侵害でも自身のワークフローを変更しないまま脅威が再活性化するリスクがあり、コミットSHAの固定によって上流リポジトリへの依存を排除することが重要だと指摘している。