İki GitHub Actions, Mini Shai-Hulud Zararlı Yüküyle Yeniden Etkinleştirildi

Uygulama güvenliği şirketi Socket'e göre, Mini Shai-Hulud kampanyasıyla ilişkilendirilen iki üçüncü taraf GitHub Actions, sürüm etiketlerinde zararlı kod hâlâ bulunurken yeniden etkinleştirildi. actions-cool/issues-helper ve actions-cool/maintain-one-comment adlı eylemler 16 Eylül ile 25 Eylül 2026 arasında yeniden erişilebilirdi.

GitHub'ın güvenlik ekibi, eylemler 18 Mayıs'ta ele geçirildikten sonra bunları kaldırmış ve alt iş akışlarının zararlı yükü indirmesini önlemişti. Socket, depoların 16 Eylül'de yeniden erişilebilir olduğunu, ancak sürüm etiketlerinin index.js dosyasında gizlenmiş kod içeren bir işleme işaret etmeyi sürdürdüğünü söyledi. Bu nedenle, sürüm etiketiyle bu eylemlerden birini kullanan iş akışları sonraki çalıştırmalarında zararlı yükü indirip çalıştırabilirdi.

Mayıs ayındaki Mini Shai-Hulud tedarik zinciri saldırısı, npm'de 323 paketi ve 639 paket sürümünü etkiledi; geliştiricilerin belirteçlerini, kimlik bilgilerini ve CI/CD sırlarını hedef aldı. Socket, GitHub'ın bağımlılık grafiğinde issues-helper'a bağlı yaklaşık 15.000 depo bulunduğunu, ancak bu sayının tümünün ele geçirildiği anlamına gelmediğini belirtti. Araştırmacılar, bu bağımlıların kaçının sabitlenmiş işlem yerine değiştirilebilir etiket kullandığını henüz saptayamamıştı.

Socket, her iki eylemin de 25 Eylül'de yeniden devre dışı olduğunu tespit etti; bunlara başvuran iş akışları zararlı yükü çalıştırmak yerine başarısız oldu. Şirket, iki eyleme yapılan başvuruların bulunup kaldırılmasını veya doğrulanmış temiz bir işleme sabitlenmesini, 16 Eylül'den sonraki çalıştırmaların incelenmesini ve etkilenen bir etiketi çalıştıran iş akışlarının erişebildiği sırların yenilenmesini önerdi.