นักวิจัยจาก Socket.dev เปิดเผยแคมเปญโจมตีขนาดใหญ่ที่ผู้ไม่ประสงค์ดีใช้ GitHub Actions ใน Repository ที่ถูกยึดครองเป็นโครงสร้างพื้นฐานสำหรับสแกนและโจมตีเซิร์ฟเวอร์ cPanel/WHM ที่มีช่องโหว่ CVE-2026-41940 เพื่อขโมย Credential สำคัญจำนวนมากจากเซิร์ฟเวอร์ Hosting ที่เปิดสู่อินเทอร์เน็ต
แคมเปญนี้แสดงให้เห็นแนวโน้มที่น่ากังวลของการใช้บริการ Cloud CI/CD ที่ถูกกฎหมายอย่าง GitHub Actions เป็นโครงสร้างพื้นฐานโจมตีแบบกระจาย (Distributed Attack Infrastructure) แทนที่ผู้โจมตีจะต้องดูแล Server ของตนเอง
ห่วงโซ่การโจมตี
แคมเปญนี้เริ่มต้นจากการยึดครองบัญชี GitHub ของนักพัฒนา PHP/DevOps รายหนึ่งที่มีชื่อเสียงในวงการ จากนั้นดำเนินการดังนี้:
- ฝัง GitHub Actions Workflow อันตราย ลงใน Repository หลายแห่งที่เชื่อมโยงกับแพ็กเกจ Packagist จำนวน 10 รายการ
- รอการ Trigger ผ่านการ Push โค้ดเข้า Repository หรือการรัน Workflow ด้วยตนเอง
- เมื่อถูก Trigger ระบบจะ สร้าง GitHub-hosted Runner ชั่วคราว และดาวน์โหลด Payload สำหรับ Linux จากโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม
- สแกนหาเซิร์ฟเวอร์ cPanel/WHM ที่มีช่องโหว่ บนพอร์ตที่เกี่ยวข้องกับบริการเว็บและระบบบริหารจัดการ cPanel/WHM ได้แก่ พอร์ต 80, 443, 8080, 8443, 2082, 2083, 2086 และ 2087
- เมื่อพบเป้าหมาย ใช้ CVE-2026-41940 ซึ่งเป็นช่องโหว่ Authentication Bypass เพื่อเข้าถึงระบบโดยไม่ต้องยืนยันตัวตน
แคมเปญใช้ Hostname เฉพาะที่เรียกว่า DNSHook เป็นช่องทางยืนยันว่าคำสั่งถูกรันสำเร็จผ่านการบันทึก DNS Lookup ทีมวิจัยตรวจพบไฟล์ Workflow ที่เกี่ยวข้องกับแคมเปญนี้มากกว่า 6,100 ไฟล์ กระจายอยู่ใน Repository ต่างๆ ที่ไม่เกี่ยวข้องกัน
ข้อมูลที่ถูกขโมย
เมื่อเข้าถึงเซิร์ฟเวอร์ cPanel/WHM สำเร็จแล้ว ผู้โจมตีจะเก็บรวบรวมข้อมูลสำคัญ ได้แก่:
- Cloud Credentials เช่น AWS Access Key
- GitHub/GitLab Tokens ที่อาจใช้เข้าถึง Source Code หรือ Repository อื่นต่อได้
- API Keys จากบริการต่างๆ รวมถึง OpenAI และ Google
- Stripe Keys ที่เกี่ยวข้องกับระบบชำระเงิน
- SSH Material สำหรับเข้าถึงเซิร์ฟเวอร์อื่นในเครือข่ายเดียวกัน
- ไฟล์ Configuration, Environment Variables และข้อมูลฐานข้อมูล ของเว็บไซต์บนเซิร์ฟเวอร์เดียวกัน
สถานะปัจจุบันของแคมเปญ
แม้ GitHub จะระงับบัญชีที่เกี่ยวข้องกับแคมเปญนี้ไปบางส่วนแล้ว แต่แคมเปญยังคงดำเนินต่อเนื่อง เนื่องจากผู้โจมตีสามารถฝัง Workflow ใหม่ลงใน Repository อื่นได้อย่างต่อเนื่อง สะท้อนถึงความยากในการหยุดยั้งแคมเปญที่ใช้โครงสร้างพื้นฐานแบบกระจายลักษณะนี้
ผลกระทบที่อาจเกิดขึ้น
- การยึดบัญชีเซิร์ฟเวอร์ Hosting ผ่านช่องโหว่ Authentication Bypass ทำให้ผู้โจมตีควบคุมเซิร์ฟเวอร์ทั้งหมดได้
- ความเสี่ยงต่อการโจมตีแบบ Supply Chain หาก Cloud Credential หรือ Git Token ที่ถูกขโมยถูกนำไปใช้เข้าถึง Repository หรือระบบ Deploy อื่นต่อ
- การทำ Lateral Movement ไปยังเซิร์ฟเวอร์หรือระบบอื่นที่เชื่อมโยงกันผ่าน SSH Material ที่ถูกขโมย
- ความเสียหายทางการเงิน หาก API Key ของบริการที่มีค่าใช้จ่าย เช่น Cloud หรือ Payment Service ถูกนำไปใช้งานโดยไม่ได้รับอนุญาต
- ข้อมูลลูกค้าและฐานข้อมูลรั่วไหล หากเซิร์ฟเวอร์ที่ถูกโจมตีมีเว็บไซต์ของลูกค้าหลายรายอยู่ร่วมกัน (Shared Hosting)
สิ่งที่องค์กรควรทำ
- อัปเดตหรือแพตช์เซิร์ฟเวอร์ cPanel/WHM ให้เป็นเวอร์ชันที่แก้ไข CVE-2026-41940 แล้วโดยเร็ว
- ตรวจสอบ GitHub Actions Workflow ใน Repository ขององค์กรทั้งหมด ว่ามีไฟล์ Workflow ที่ไม่ได้เพิ่มโดยทีมพัฒนาหรือมีพฤติกรรมผิดปกติ เช่น การดาวน์โหลดไฟล์จากแหล่งภายนอกที่ไม่รู้จัก
- หมุนเวียน Credential ที่มีความเสี่ยงรั่วไหลทันที โดยเฉพาะ Cloud Key, Git Token, API Key และ SSH Key หากพบสัญญาณการเข้าถึงระบบผิดปกติ
- ตรวจสอบว่าเซิร์ฟเวอร์ cPanel/WHM เปิด Management Port สู่อินเทอร์เน็ตสาธารณะโดยไม่จำเป็นหรือไม่
แนวทางลดความเสี่ยงระยะยาว
1. จำกัดสิทธิ์ของ GitHub Actions Workflow ตามหลัก Least Privilege
กำหนดสิทธิ์ Token ที่ Workflow ใช้งานให้น้อยที่สุดเท่าที่จำเป็น และหลีกเลี่ยงการอนุญาตให้ Workflow เข้าถึง Secret ที่ไม่เกี่ยวข้อง
2. เปิดใช้งาน Required Reviews สำหรับการเปลี่ยนแปลง Workflow File
เพื่อป้องกันการฝัง Workflow อันตรายโดยไม่ผ่านการตรวจสอบจากทีมพัฒนา
3. ตรวจสอบ Dependency และ Packagist Package ที่ใช้งานอย่างสม่ำเสมอ
โดยเฉพาะแพ็กเกจที่มาจาก Maintainer ภายนอกที่อาจถูกยึดครองบัญชีได้
4. แยกเซิร์ฟเวอร์ Management Interface ออกจากเครือข่ายสาธารณะ
จำกัดการเข้าถึง Port บริหารจัดการ cPanel/WHM ให้เหลือเฉพาะ IP ที่จำเป็น
5. ทำ Credential Rotation Policy อย่างสม่ำเสมอ
โดยเฉพาะ API Key และ Token ที่มีความเสี่ยงสูงต่อการถูกนำไปใช้ในทางที่ผิด
วิเคราะห์ในมุมมองจาก TXEC
แคมเปญนี้สะท้อนแนวโน้มสำคัญของภัยคุกคามยุคใหม่ คือการใช้บริการ Cloud ที่ถูกกฎหมายและได้รับความไว้วางใจอย่าง GitHub Actions เป็นโครงสร้างพื้นฐานโจมตี ทำให้ยากต่อการตรวจจับด้วยมาตรการป้องกันแบบเดิมที่มักมุ่งเน้นการบล็อก IP หรือ Domain ที่ทราบว่าเป็นอันตราย เพราะ Traffic การโจมตีมาจาก Infrastructure ของ GitHub เอง
อีกประเด็นที่ TXEC มองว่าองค์กรไทยควรให้ความสำคัญคือความเสี่ยงจาก Supply Chain ที่ซับซ้อนขึ้นเรื่อยๆ การที่บัญชีนักพัฒนาเพียงคนเดียวถูกยึดครองสามารถส่งผลกระทบเป็นวงกว้างผ่าน Package ที่ถูกใช้งานในหลาย Repository องค์กรที่ใช้ GitHub Actions ในกระบวนการพัฒนาซอฟต์แวร์ควรทบทวนสิทธิ์ของ Workflow และกระบวนการตรวจสอบการเปลี่ยนแปลงไฟล์ Workflow อย่างจริงจัง ไม่ใช่มองว่าเป็นเพียงเครื่องมือ CI/CD ทั่วไปที่ไม่มีความเสี่ยงด้าน Security
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Socket.dev, CyberPress, The Hacker News, GBHackers, CyberSecurityNews ]