Ano ang nangyari
Noong Oktubre 8, 2026 (UTC), inagaw ng kampanyang GhostAction ang dalawang kilalang account ng open-source maintainer para itulak ang malisyosong GitHub Actions workflow na security-audit.yml sa humigit-kumulang 345 repository: ang account ni Takashi Kitao (game engine na pyxel, ~18.4k star) sa 27 repo, at ang account ni Henry Wu (henrywoo), orihinal na may-akda ng athenadriver ng Uber, sa 318 repo sa loob ng 16 minuto, kasama ang uber/athenadriver.
Ayon sa Socket, pagsapit ng Oktubre 9, mahigit 500 GitHub account na ang nag-commit ng workflow sa sampu-sampung libong repository mula Oktubre 7.
Ano ang ninanakaw
Nagpapanggap na "security audit", tumatakbo sa bawat push, kinukuha ang Actions secrets, sinusuyod ang buong git history at ipinapadala nang plain text sa HTTP sa isang IP (193.32.204.199): mga token ng PyPI, npm, Docker Hub, susi ng AWS, Azure, Google Cloud, SSH, chat bot at AI API keys.
Hindi unang alon
Lumitaw noong Setyembre 2025 (817 repo, 3,325 secret). Bumilang ang GitGuardian ng 772 repo mula Agosto 31 hanggang Setyembre 30, 2026; sa 92 kaso, binago lang ang lumang workflow na hindi tinanggal.
Gawin
- Hanapin ang
.github/workflows/security-audit.ymlsa lahat ng branch at fork. - Kung meron, ituring na compromised: bawiin ang credential at i-rotate lahat ng secret.
- Suriin ang cloud logs.
- Alisin ang secret sa history; gumamit ng secret manager at OIDC.
- Protektahan ang account gamit ang passkey at review sa
.github/workflows. - Limitahan ang outbound ng runners.
Mga pinagmulan
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
Gusto mo bang i-audit ang CI/CD at mga secret mo? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.