Chuyện gì đã xảy ra
Ngày 8/10/2026 (UTC), chiến dịch GhostAction chiếm hai tài khoản maintainer mã nguồn mở nổi tiếng để đẩy workflow GitHub Actions độc hại security-audit.yml vào khoảng 345 repo: tài khoản Takashi Kitao (game engine pyxel, ~18.400 sao) vào 27 repo, và tài khoản Henry Wu (henrywoo), tác giả gốc athenadriver của Uber, vào 318 repo trong 16 phút, gồm cả uber/athenadriver.
Theo Socket, đến 9/10 đã có hơn 500 tài khoản GitHub commit workflow này vào hàng chục nghìn repo kể từ 7/10.
Đánh cắp gì
Giả dạng "kiểm tra bảo mật", workflow chạy mỗi lần push, thu thập secret của Actions, quét toàn bộ lịch sử git và gửi dạng văn bản thuần qua HTTP tới một IP cố định (193.32.204.199): token PyPI, npm, Docker Hub, khóa AWS, Azure, Google Cloud, SSH, bot chat và khóa API AI.
Không phải đợt đầu
Xuất hiện từ 9/2025 (817 repo, 3.325 secret). GitGuardian ghi nhận 772 repo từ 31/8 đến 30/9/2026; trong 92 trường hợp, kẻ tấn công chỉ sửa workflow cài từ đợt trước mà chưa bị xóa.
Việc cần làm
- Tìm
.github/workflows/security-audit.ymltrên mọi nhánh và fork. - Nếu có, coi như đã bị xâm nhập: thu hồi thông tin xác thực và xoay vòng mọi secret.
- Kiểm tra log đám mây.
- Xóa secret khỏi lịch sử; dùng trình quản lý secret và OIDC.
- Bảo vệ tài khoản bằng passkey, bắt buộc review thay đổi trong
.github/workflows. - Hạn chế lưu lượng ra từ runner.
Nguồn
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
Bạn muốn rà soát CI/CD và secret? KGA IT cung cấp tư vấn miễn phí: kga-it.com.