Qué pasó
El 8 de octubre de 2026 (UTC), la campaña GhostAction secuestró dos cuentas conocidas de mantenedores open source para insertar un workflow malicioso de GitHub Actions, security-audit.yml, en unos 345 repositorios: la de Takashi Kitao, autor del motor pyxel (~18.400 estrellas), en 27 repos, y la de Henry Wu (henrywoo), autor original de athenadriver de Uber, en 318 repos en 16 minutos, incluido uber/athenadriver.
Según Socket, al 9 de octubre más de 500 cuentas habían hecho commit del workflow en decenas de miles de repositorios desde el 7 de octubre.
Qué roba
Disfrazado de "auditoría de seguridad", se ejecuta en cada push, recoge secretos de Actions, revisa todo el historial de git y lo envía en texto plano por HTTP a una IP fija (193.32.204.199). Busca tokens de PyPI, npm, Docker Hub, claves de AWS, Azure, Google Cloud, SSH, bots de chat y claves de API de IA.
No es la primera ola
Apareció en septiembre de 2025 (817 repos, 3.325 secretos). GitGuardian contó 772 repos entre el 31 de agosto y el 30 de septiembre de 2026; en 92 casos el atacante solo modificó workflows de olas anteriores nunca eliminados.
Qué hacer
- Busque
.github/workflows/security-audit.ymlen todas las ramas y forks. - Si aparece, asuma compromiso: revoque la credencial y rote todos los secretos.
- Revise logs de la nube.
- Limpie el historial y use gestores de secretos y OIDC.
- Proteja cuentas con passkeys y exija revisión para cambios en
.github/workflows. - Restrinja la salida de los runners.
Fuentes
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
¿Quiere auditar su CI/CD y sus secretos? KGA IT ofrece una consulta gratuita: kga-it.com.