Két actions-cool GitHub Actions workflow-t másodszor is letiltottak, miután a tárolók múlt héten ismét elérhetővé váltak – hónapokkal azután, hogy a 2026. májusi Mini Shai-Hulud kampány során feltörték őket. A érintett GitHub Actions workflow-k a következők:

• actions-cool/issues-helper
• actions-cool/maintain-one-comment

Ha most bármelyik tárolót megnyitjuk, a következő üzenet jelenik meg: „A tárolóhoz való hozzáférést a GitHub munkatársai letiltották a GitHub szolgáltatási feltételeinek megsértése miatt. Ha Ön a tároló tulajdonosa, további információért felveheti a kapcsolatot a GitHub Support csapatával.”

„2026. szeptember 16-án mindkét tároló ismét elérhetővé vált” – mondta a Socket kutatója, Karlo Zanki nyilatkozatában. „A release tageket nem takarították ki előtte. Továbbra is a május 18-án bejuttatott kártékony tartalomra mutattak, így minden workflow, amely verzió taggel hivatkozott bármelyik actionre, a következő futásakor újra letöltötte és végrehajtotta a kártevőt.”

A két GitHub Actions workflow-t eredetileg 2026. május 18-án törték fel. Olyan kártékony kódot futtattak, amely érzékeny hitelesítő adatokat gyűjtött az őket futtató CI/CD pipeline-okból, majd az adatokat egy támadók által irányított szerverre továbbította.

A tevékenységet később a Mini Shai-Hulud aktivitási klaszterhez kötötték, mivel átfedést találtak az adatexfiltrációhoz használt domain („t.m-kosche[.]com”) között, amely megjelent a GitHub Actions workflow-kban és az @antv ökoszisztéma npm csomagjaiban is.

„Ez ugyanarra a Mini Shai-Hulud aktivitási klaszterre mutat, nem egy külön, csak npm-et érintő incidensre” – mondta akkor Philipp Burckhardt, a Socket fenyegetésfelderítési vezetője a The Hacker Newsnak.

A tárolókat 2026. szeptember 16-án engedélyezték újra, valamikor 11:09 és 18:16 között (GMT+2). Egyelőre nem tudni, miért történt ez.

A legújabb fejlemény egy másik problémára is rávilágít: a kártékony kód az érintett kódbázisokban maradt, soha nem takarították ki, és a fenyegetés újbóli aktiválásához elég volt, hogy a tárolók ismét letölthetővé váljanak.

Mivel továbbra is több workflow használja a két GitHub Actions workflow-t, a kitettség súlyos szoftver-ellátási lánc biztonsági kockázatokhoz vezethetett volna anélkül, hogy a támadóknak új exploitot kellett volna bevetniük vagy új infrastruktúrát kiépíteniük.

„Mindkét action az issue-k és kommentek karbantartását automatizálja, például inaktív issue-k lezárását, az újonnan nyitottak ellenőrzését, vagy egyetlen botkomment naprakészen tartását” – közölte a Socket.

„Az őket meghívó workflow-k általában napi ütemezés szerint futnak, vagy akkor, amikor valaki issue-t vagy pull requestet nyit. A gyakorlatban a legtöbb érintett tároló valószínűleg a visszakapcsolást követő egy napon belül lefuttatta a kártevőt, anélkül, hogy a támadónak bármi mást tennie kellett volna.”

A probléma nem érinti azokat a workflow-kat, amelyek az actionöket egy, 2026. május 18. előtti verzió teljes commit SHA-jához rögzítik. A fejlesztőknek az alábbi lépéseket javasolják:

• Keressék meg az összes hivatkozást az érintett actionökre, és kezeljék érintettként az „actions-cool/issues-helper@v2.2.1” verziót is.
• Távolítsák el ezeket az actionöket, és rögzítsék őket egy ismerten tiszta, 2026. május 18. előtti SHA-hoz.
• Cseréljenek le minden kiszivárgott vagy érintett titkot.
• Nézzék át a workflow-futtatások előzményeit, és keressenek olyan újonnan sikeres futásokat, amelyeket hosszabb ideig „Set up job” hibák előztek meg.
• Ellenőrizzék a tároló előzményeit, hogy történt-e váratlan commit 2026. szeptember 16. után.

„A legtöbb ellátási lánc-incidensben van valami új: egy frissen kiadott kártékony verzió, egy frissen eltérített fiók vagy egy frissen beinjektált workflow” – mondta Zanki. „Itt nem ez történt. Nem jelent meg új kód, és nem módosítottak semmilyen konfigurációt.”

„Ez az eset megmutatja, hogy egy módosítható tagot feltörhetnek, elszigetelhetnek, majd újra aktiválhatnak anélkül, hogy a saját workflow fájlodban bármi változna. A SHA-hoz rögzítés megszünteti ezt a függést a távoli tároló állapotától.”