Oops:

#GitHubActions #CI #Actions

Megalodon: 5.561 repository GitHub compromessi in sei ore con workflow CI/CD malevoli

https://insicurezzadigitale.com/megalodon-5-561-repository-github-compromessi-in-sei-ore-con-workflow-ci-cd-malevoli/

GitHub Actions Is a Trap

최근 GitHub Actions의 기본 설정 취약점으로 인해 다수의 공급망 공격이 발생했다. 특히 pull_request_target 워크플로우가 GITHUB_TOKEN을 노출시키고, actions/checkout의 persist-credentials 기본값이 true인 점이 악용되었다. Trivy 보안 스캐너가 해킹되어 CI 환경에서 비밀키가 탈취되었고, 이로 인해 LiteLLM 프로젝트의 PyPI 배포 키도 유출되는 사건이 발생했다. AI가 공격 자동화에 활용되면서 과거 CI 보안 문제들이 더욱 심각해지고 있다.

https://tylercipriani.com/blog/2026/04/24/on-the-software-supply-chain-doom-spiral/

#githubactions #supplychainsecurity #ci #security #trivy

We hardened zizmor's GitHub Actions static analyzer

GitHub Actions용 정적 분석기 zizmor가 YAML 앵커(anchor) 지원을 강화하여 워크플로우 분석 정확도와 안정성을 크게 개선했다. Trail of Bits와 협력해 41,253개 실제 워크플로우를 테스트하며 파싱 버그, 중복 앵커 처리, 표현식 평가기 문제 등을 수정했고, GitHub Actions의 다양한 YAML 패턴을 완벽히 지원하도록 업데이트했다. 이는 supply-chain 공격 방지에 중요한 역할을 하며, CI 보안 강화에 실질적 기여를 한다.

https://blog.trailofbits.com/2026/05/22/we-hardened-zizmors-github-actions-static-analyzer/

#githubactions #security #staticanalysis #yaml #ci

Why I built wrkflw to validate and run GitHub Actions locally

wrkflw는 GitHub Actions 워크플로우를 로컬에서 검증하고 실행할 수 있는 Rust 기반 도구로, Docker 의존성을 줄이고 컨테이너 없이도 워크플로우를 실행할 수 있는 다양한 런타임 모드를 지원한다. 특히, 보안 에뮬레이션 모드는 신뢰할 수 없는 코드 실행 시 위험한 명령어를 차단하고 환경 변수를 제한하여 안전성을 높인다. 이 도구는 워크플로우 YAML 검증, 재사용 가능한 워크플로우 지원, 아티팩트 및 캐시 처리 등 CI 개발자에게 유용한 기능을 제공하며, Rust의 타입 시스템과 비동기 처리 경험을 쌓기 위한 실전 프로젝트로도 의미가 크다.

https://blog.gokuls.in/posts/why-i-built-wrkflw.html

#githubactions #ci #rust #localrunner #security

🦈 Megalodon: Mass GitHub Repo Backdooring via CI Workflows

｢ On May 18, 2026, an automated campaign codenamed megalodon pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window ｣

https://safedep.io/megalodon-mass-github-repo-backdooring-ci-workflows/

#github #githubactions #cybersecurity #opensource

Level up your workflow! 🚀 Learn how to automate builds, deployments, and security checks with GitHub Actions. A quick guide to mastering CI/CD – check it out! 💻 #GitHubActions #CICD #DevOps

https://www.youtube.com/watch?v=FfT7DDdkZfc

GitHub Actions Supply Chain Attack Exfiltrates CI/CD Credentials

A sneaky supply chain attack on GitHub Actions has led to the theft of CI/CD credentials, with hackers using a clever trick to redirect tags to fake commits that hide malicious code. By masquerading as legitimate commits, attackers were able to execute arbitrary code and evade pull request reviews.

https://osintsights.com/github-actions-supply-chain-attack-exfiltrates-cicd-credentials?utm_source=mastodon&utm_medium=social

#SupplyChainAttack #GithubActions #CicdCredentials #ImposterCommits #EmergingThreats

Shai-Hulud worm infects another npm package

A copycat of the notorious Shai-Hulud worm has struck again, infecting another npm package by exploiting a GitHub Actions misconfiguration. This latest attack follows a similar pattern that recently prompted TanStack to rethink its approach to accepting outside code contributions.

https://osintsights.com/shai-hulud-worm-infects-another-npm-package?utm_source=mastodon&utm_medium=social

#Shaihulud #Npm #GithubActions #SupplyChain #MalwareOperations