Auf den Punkt: Angreifer instrumentalisieren kompromittierte PHP-Pakete und GitHub Actions Runner, um sich Zugang zu cPanel- und WHM-Verwaltungsoberflächen zu verschaffen.
Sicherheitsforscher haben eine großflächige Kampagne dokumentiert, die kompromittierte GitHub-Repositories und Actions-Runner als verteilte Angriffs-Infrastruktur gegen cPanel- und WebHost Manager-Instanzen missbraucht. Betroffen sind zehn Pakete auf Packagist, die unter dem Namen eines legitimen PHP-Entwicklers verbreitet wurden.
Die Attacke nutzt manipulierte Entwicklungsversionen von PHP-Paketen auf Packagist, dem Standard-Package-Repository für PHP. Zwischen dem 12. und 13. Juli wurden mindestens zehn Pakete des Accounts dinushchathurya mit schädlichem Code präpariert, um GitHub Actions Runner als Springbrett für Angriffe auf cPanel- und WHM-Systeme zu instrumentalisieren.
GitHub Actions Runner sind standardmäßig auf vielen Development-Systemen installiert, um automatisierte Workflows auszuführen. Durch die Injektion bösartiger Code-Sequenzen in verbreitete Pakete gelang es den Angreifern, Zugriff auf diese Runner zu erlangen und darüber zielgerichtete Anschläge auf die Verwaltungsschnittstellen von Hosting-Infrastrukturen durchzuführen. cPanel und WHM sind weit verbreitete Control-Panel-Lösungen bei Hosting-Providern und dediziertem Server-Management.
CISOs sollten umgehend überprüfen, ob ihre Entwicklungs- und Deploy-Umgebungen Pakete aus kompromittierten Quellen installiert haben. Dazu gehören ein Audit der GitHub Actions Runner auf verdächtige Aktivitäten, eine Überprüfung des Zugriffs auf cPanel- und WHM-Instanzen sowie eine Neu-Initialisierung der Zugangsdaten für diese Systeme. Die Packagist-Repositories sollten zeitnah auf neuere, unbelastete Versionen aktualisiert werden.
Quelle: thehackernews.com · Erschienen 23. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.