פעולות GitHub Actions שנפרצו חזרו לפעול והריצו שוב את הנוזקה של Mini Shai-Hulud

שתי פעולות GitHub Actions שמתחזקת הקבוצה actions-cool הושבתו בפעם השנייה, לאחר שהמאגרים שלהן היו נגישים שוב לזמן קצר ב-16 בספטמבר 2026, חודשים אחרי שנפרצו בקמפיין Mini Shai-Hulud. כך מדווח The Hacker News.

כיום שני המאגרים מציגים הודעה שלפיה הגישה נחסמה בידי צוות GitHub בגלל הפרה של תנאי השימוש. מדובר בפעולות actions-cool/issues-helper ו-actions-cool/maintain-one-comment.

מה קרה

שתי הפעולות נפרצו לראשונה ב-18 במאי 2026, כדי שיריצו קוד זדוני בתוך צינורות CI/CD שהשתמשו בהן. הקוד אסף פרטי גישה רגישים מסביבת הבנייה ושלח אותם לשרת בשליטת התוקף.

חוקר בחברת Socket, קרלו זנקי, סיפר שהמאגרים נפתחו מחדש ב-16 בספטמבר 2026, בין 11:09 ל-18:16 לפי GMT+2, ומדוע זה קרה עדיין לא ידוע. "תגי השחרור שלהם לא נוקו מראש", אמר. "הם עדיין מצביעים על התוכן הזדוני שהוחדר ב-18 במאי, ולכן כל workflow שמפנה לפעולות לפי תג גרסה חזר להוריד ולהריץ את המטען בהרצה הבאה שלו".

שתי הפעולות מאוטמות עבודות תחזוקה שגרתיות ב-issues ובתגובות, כמו סגירת issues לא פעילים או שמירה על תגובת בוט מעודכנת. ה-workflows שקוראים להן פועלים בדרך כלל לפי לוח זמנים יומי או כשמישהו פותח issue או pull request, ולכן רוב המאגרים שנפגעו כנראה הריצו את המטען בתוך יום מהפתיחה מחדש, בלי צעד נוסף של התוקפים.

למה זה חשוב

האירוע מיוחס לאשכול הפעילות Mini Shai-Hulud, בשל חפיפה בדומיין ההדלפה ("t.m-kosche[.]com") ששימש גם חבילות npm זדוניות במערכת @antv.

workflow שמצמידים את הפעולות ל-commit SHA מלא של גרסה מלפני 18 במאי 2026 אינם נפגעים. "רוב אירועי שרשרת האספקה כוללים משהו חדש", אמר זנקי. "כאן זה לא קרה. לא פורסם קוד חדש ולא שונתה שום קונפיגורציה".

לדבריו, המקרה מראה שאפשר לפרוץ תג משתנה ואז להפעיל אותו מחדש בלי שום שינוי בקובץ ה-workflow שלכם. הצמדה ל-commit SHA מסירה את התלות הזו במצב המאגר במעלה הזרם.

מה מומלץ למפתחים

Socket ממליצה לאתר כל הפניה לפעולות שנפגעו ולהתייחס ל-actions-cool/[email protected] כאל נגועה, להסיר אותן ולהצמיד ל-SHA נקי מלפני 18 במאי 2026, ולהחליף את כל הסודות שנחשפו. מומלץ גם לבדוק הרצות מוצלחות חדשות לאחר תקופה ארוכה של כשלים בשלב "Set up job", ולבחון קומיטים לא צפויים אחרי 16 בספטמבר 2026.