O que aconteceu
Em 8 de outubro de 2026 (UTC), a campanha GhostAction sequestrou duas contas conhecidas de mantenedores open source e usou-as para inserir um workflow malicioso do GitHub Actions, chamado security-audit.yml, em cerca de 345 repositórios:
- a conta de Takashi Kitao, autor do motor de jogos pyxel (~18,4 mil estrelas), que enviou o arquivo para 27 repositórios;
- horas depois, a conta de Henry Wu (henrywoo), autor original do athenadriver da Uber, que enviou para 318 repositórios em 16 minutos, menos de 3 segundos por repositório, sinal de automação. Isso incluiu o repositório
uber/athenadriver, da própria Uber, onde ele tinha permissão de escrita.
Segundo a Socket, até 9 de outubro mais de 500 contas do GitHub tinham feito commit do workflow em dezenas de milhares de repositórios desde 7 de outubro.
O que o workflow rouba
Disfarçado de "auditoria de segurança", ele roda a cada push e:
- coleta os segredos do GitHub Actions;
- varre o diretório de trabalho e todo o histórico do git atrás de credenciais esquecidas;
- envia tudo, em texto puro via HTTP, para um IP fixo (193.32.204.199).
Os alvos incluem tokens de PyPI, npm e Docker Hub, chaves da AWS, Azure e Google Cloud/Firebase, tokens do GitHub e GitLab, chaves SSH, tokens de bots do Slack, Telegram e Discord, chaves da Cloudflare e chaves de API de IA (OpenAI, Anthropic, OpenRouter).
Não é a primeira onda
O GhostAction apareceu em setembro de 2025, quando atingiu 817 repositórios e roubou 3.325 segredos. A GitGuardian contou outra onda entre 31 de agosto e 30 de setembro de 2026: 772 repositórios e 2.577 segredos visados. Em 92 casos, o atacante nem criou arquivo novo: só alterou workflows plantados em ondas anteriores e nunca removidos, apontando para o novo servidor.
Por que isso importa
A conta de um mantenedor dá acesso a todo repositório em que ele pode escrever, inclusive de empresas. Um token de publicação roubado permite envenenar pacotes e imagens usados por milhares de projetos.
O que fazer
- Procure
.github/workflows/security-audit.yml(ou workflows desconhecidos) em todas as branches e forks, e veja commits recentes nos workflows desde 31 de agosto. - Se encontrar, assuma comprometimento: revogue a credencial do GitHub usada e rotacione todos os segredos do repositório e os que estejam no histórico do git.
- Revise logs da nuvem em busca de uso das chaves após a data de infecção.
- Remova segredos do histórico e use cofres de segredos e OIDC em vez de chaves de longa duração.
- Proteja contas: passkeys/chaves de segurança, revisão de tokens pessoais e regras de proteção de branch que exijam revisão para mudanças em
.github/workflows. - Bloqueie saída de runners para destinos não autorizados.
Fontes
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
Quer auditar sua pipeline de CI/CD e seus segredos? A KGA IT oferece uma consulta gratuita: kga-it.com.