Два GitHub Actions, взломанных в мае, вновь открыты с вредоносным кодом: от них зависят ~15 000 репозиториев, окно уязвимости — от 7 часов до 9 дней

По данным The Hacker News от 25 сентября, два GitHub Actions, автоматизирующие работу с репозиториями и их обслуживание, после первого взлома 18 мая 2026 года так и не были очищены и 16 сентября вновь стали доступны. По словам исследователя Socket Карло Занки, каждый рабочий процесс, ссылавшийся на эти действия по тегу версии, при следующем запуске заново скачивал и выполнял нагрузку. Нагрузка собирает конфиденциальные учётные данные из конвейеров CI/CD и отправляет их на сервер злоумышленника на домене t.m-kosche[.]com. Руководитель направления анализа угроз Socket Филипп Буркхардт связал эту активность с кластером Mini Shai-Hulud из-за пересечения инфраструктуры. GitHub вновь закрыл оба репозитория за нарушение условий обслуживания; почему они были открыты повторно, неизвестно. Ссылки, закреплённые по SHA на коммит до 18 мая, безопасны.

По данным BleepingComputer от 26 сентября, окно уязвимости длилось с 11:09 16 сентября до 18:16 25 сентября (GMT+2), то есть около 9 дней, и 25 сентября оба действия были снова отключены. The Hacker News же указывает, что повторная активация продолжалась 16 сентября с 11:09 до 18:16; это расхождение между 7 часами и 9 днями в двух источниках не устранено. По данным BleepingComputer, майская волна затронула 639 версий 323 пакетов npm, а от issues-helper зависят около 15 000 репозиториев; сколько рабочих процессов фактически выполнили нагрузку в этом окне, подтвердить не удалось. Поскольку нагрузка, предназначенная для кражи учётных данных, нацелена на секреты CI/CD, затронутым проектам необходимо обновить ключи облака, реестров пакетов и развёртывания.