Apa yang berlaku
Pada 8 Oktober 2026 (UTC), kempen GhostAction merampas dua akaun penyelenggara sumber terbuka terkenal untuk menolak aliran kerja GitHub Actions berniat jahat, security-audit.yml, ke kira-kira 345 repositori: akaun Takashi Kitao (enjin permainan pyxel, ~18.4k bintang) ke 27 repo, dan akaun Henry Wu (henrywoo), pengarang asal athenadriver Uber, ke 318 repo dalam 16 minit, termasuk uber/athenadriver.
Menurut Socket, menjelang 9 Oktober lebih 500 akaun GitHub telah mengkomit aliran kerja itu ke puluhan ribu repositori sejak 7 Oktober.
Apa yang dicuri
Menyamar sebagai "audit keselamatan", ia berjalan setiap push, mengumpul rahsia Actions, mengimbas seluruh sejarah git dan menghantar semuanya dalam teks biasa melalui HTTP ke IP tetap (193.32.204.199): token PyPI, npm, Docker Hub, kunci AWS, Azure, Google Cloud, SSH, bot sembang dan kunci API AI.
Bukan gelombang pertama
Muncul September 2025 (817 repo, 3,325 rahsia). GitGuardian mengira 772 repo antara 31 Ogos dan 30 September 2026; dalam 92 kes, penyerang hanya mengubah aliran kerja lama yang tidak pernah dibuang.
Tindakan
- Cari
.github/workflows/security-audit.ymldalam semua cabang dan fork. - Jika ada, anggap terjejas: batalkan kelayakan dan putar semua rahsia.
- Semak log awan.
- Buang rahsia dari sejarah; guna pengurus rahsia dan OIDC.
- Lindungi akaun dengan passkey dan wajibkan semakan untuk
.github/workflows. - Hadkan trafik keluar runner.
Sumber
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
Mahu mengaudit CI/CD dan rahsia anda? KGA IT menawarkan konsultasi percuma: kga-it.com.