Скомпрометовані GitHub Actions повернулися онлайн і знову запустили шкідливий код

Два GitHub Actions, які супроводжує організація actions-cool, вимкнули вдруге. 16 вересня 2026 року їхні репозиторії ненадовго знову стали доступними, хоча компрометація сталася в травні під час кампанії Mini Shai-Hulud. Про це повідомляє The Hacker News.

Тепер обидва репозиторії показують повідомлення, що доступ закрили співробітники GitHub через порушення умов обслуговування. Йдеться про actions-cool/issues-helper і actions-cool/maintain-one-comment.

Що сталося

Обидві дії вперше скомпрометували 18 травня 2026 року, щоб вони запускали шкідливий код у конвеєрах CI/CD, які їх використовували. Цей код збирав чутливі облікові дані із середовища збірки й надсилав їх на сервер зловмисників.

Дослідник компанії Socket Карло Занкі розповів, що репозиторії знову відкрили 16 вересня 2026 року між 11:09 і 18:16 за GMT+2, і причина досі невідома. «Їхні теги релізів не почистили, - сказав він. - Вони досі вказують на шкідливий вміст, доданий 18 травня, тому будь-який workflow, який посилається на ці дії за тегом версії, під час наступного запуску знову завантажував і виконував корисне навантаження».

Обидві дії автоматизують рутинну роботу з issue та коментарями: закривають неактивні issue або оновлюють коментар бота. Такі workflow зазвичай запускаються за щоденним розкладом або коли хтось відкриває issue чи pull request, тому більшість уражених репозиторіїв, імовірно, виконала шкідливий код протягом доби після повторного відкриття, без додаткових дій зловмисників.

Чому це важливо

Інцидент пов'язують із кластером Mini Shai-Hulud через збіг домену для витоку даних («t.m-kosche[.]com»), який використовували і в GitHub Actions, і в шкідливих npm-пакетах з екосистеми @antv.

Workflow, які закріплюють ці дії за повним commit SHA версії до 18 травня 2026 року, не постраждали. «Більшість інцидентів у ланцюгу постачання пов'язані з чимось новим», - наголосив Занкі. «Тут цього не було. Жодного нового коду не опублікували і жодної конфігурації не змінили».

За його словами, змінний тег можна скомпрометувати й потім знову активувати без жодних змін у власному файлі workflow; закріплення за commit SHA прибирає цю залежність.

Що робити розробникам

Socket радить знайти всі посилання на уражені дії та вважати actions-cool/[email protected] скомпрометованою, прибрати їх і закріпити за відомим чистим SHA, старшим за 18 травня 2026 року, а також замінити всі розкриті секрети. Варто також перевірити нові успішні запуски після тривалих збоїв «Set up job» і неочікувані коміти після 16 вересня 2026 року.