27/09/2026 · VietTechies · Biên tập
Theo BleepingComputer, hai GitHub Actions liên quan đến chiến dịch tấn công chuỗi cung ứng Mini Shai-Hulud đã có thể truy cập trở lại từ ngày 16 đến 25/9, trong khi các thẻ phiên bản vẫn trỏ tới mã độc. GitHub đã vô hiệu hóa cả hai action vào ngày 25/9, khiến các workflow bị ảnh hưởng thất bại thay vì thực thi payload.
Hai action bị xâm phạm
Các kho mã bị ảnh hưởng là actions-cool/issues-helper và actions-cool/maintain-one-comment. Đội ngũ bảo mật của GitHub từng gỡ chúng sau vụ xâm phạm ngày 18/5, nhưng các nhà nghiên cứu Socket phát hiện hai kho này hoạt động trở lại mà các thẻ phiên bản chưa được làm sạch. Những thẻ đó trỏ tới các commit chứa payload được làm rối trong tệp index.js.
Ai có thể bị ảnh hưởng
Workflow tham chiếu một trong hai action bằng thẻ phiên bản có thể tải xuống và thực thi payload cũ trong lần chạy tiếp theo, trong thời gian từ ngày 16 đến 25/9. Socket cho biết đồ thị phụ thuộc của GitHub liệt kê khoảng 15.000 kho phụ thuộc vào issues-helper, nhưng con số này không cho biết có bao nhiêu kho thực sự bị xâm phạm. Các nhà nghiên cứu cũng chưa xác định được bao nhiêu dự án phụ thuộc dùng thẻ có thể thay đổi thay vì commit được ghim cố định.
Hai action này hỗ trợ các công việc dọn dẹp và quản lý issue, đồng thời có thể chạy gần như hằng ngày. Điều đó làm tăng khả năng một workflow phụ thuộc đã được kích hoạt trong giai đoạn bị ảnh hưởng. Chiến dịch Mini Shai-Hulud nói chung hồi tháng 5 đã tác động tới 323 gói và 639 phiên bản gói trên npm, nhằm vào token, thông tin xác thực của nhà phát triển và bí mật CI/CD.
Khuyến nghị xử lý
Socket khuyến nghị tìm tham chiếu tới cả hai action trong các kho mã và tệp workflow, sau đó gỡ chúng hoặc ghim vào một commit sạch đã được xác minh. Nhà phát triển cũng nên rà soát các lần chạy workflow từ ngày 16/9 trở đi. Những người có workflow từng chạy bằng thẻ bị ảnh hưởng nên thay mới các bí mật mà workflow đó có quyền truy cập. Nguồn tin chưa xác định có bao nhiêu kho đã thực thi payload hoặc vì sao các kho được bật lại trước khi hoàn tất việc làm sạch.
Ảnh minh họa do AI tạo.
Nguồn: GitHub Actions re-enabled with Mini Shai-Hulud payload still active