Abertura
Em 13 de outubro de 2026, pesquisadores de segurança da StepSecurity divulgaram detalhes de uma campanha que explorou GitHub Actions para inserir fluxos de trabalho maliciosos em dezenas de milhares de repositórios. Utilizando a conta do desenvolvedor Takashi Kitao, autor do motor de jogos pyxel com 18.400 estrelas, o atacante enviou um workflow comprometido para 27 repositórios a partir das 13:20 UTC, expandindo o alcance para mais de 340 projetos ao longo de poucos dias. O objetivo principal foi capturar credenciais armazenadas nos segredos do repositório, permitindo acesso não autorizado a recursos críticos.
Contexto
A prática de automatizar processos de build, teste e implantação por meio de GitHub Actions tem se tornado padrão em projetos de código aberto e corporativos. Essa popularidade, porém, cria uma superfície de ataque quando permissões excessivas são concedidas a workflows que podem ser editados por contribuidores externos. No caso analisado, o atacante aproveitou a reputação do mantenedor Kitao para ganhar confiança da comunidade, inserindo um arquivo YAML que parecia legítimo, mas continha etapas para exfiltrar tokens de acesso. A StepSecurity observou que a campanha já estava em curso há semanas antes de ser detectada, indicando que a exploração pode ter se beneficiado de políticas de revisão de código insuficientes.
Impacto
Empresas que dependem de bibliotecas de código aberto afetadas podem ter tido suas credenciais comprometidas, expondo chaves de API, tokens de implantação e senhas de serviços de nuvem. Embora a StepSecurity ainda não tenha quantificado perdas financeiras, a escala do ataque, mais de 340 repositórios, sugere que milhares de desenvolvedores e organizações foram potencialmente expostos. Além das duas contas de mantenedores de alto perfil, outros projetos menores também tiveram seus segredos capturados, o que pode facilitar ataques posteriores, como a inserção de malware em pipelines de entrega contínua ou a elevação de privilégios em ambientes de produção.
Detalhes técnicos
Do ponto de vista técnico, o fluxo de trabalho malicioso foi configurado para executar em ambientes de runner auto-hospedados, onde o atacante tinha maior controle sobre o ambiente de execução. O script incluía comandos que consultavam a API do GitHub para listar segredos do repositório e, em seguida, enviavam os valores para um endpoint externo controlado pelo invasor. A escolha de um runner auto-hospedado evitou as restrições de sandbox aplicadas aos runners hospedados pelo próprio GitHub, permitindo a execução de chamadas de rede não autorizadas. Além disso, o atacante aproveitou permissões de escrita concedidas a colaboradores externos, demonstrando que a simples presença de um colaborador confiável pode ser suficiente para propagar código malicioso quando as políticas de revisão não são rigorosas.
Encerramento
Até o momento, a StepSecurity recomenda que mantenedores revisem imediatamente todos os workflows presentes em seus repositórios, removam segredos não utilizados e restrinjam permissões de escrita a colaboradores de confiança comprovada. Organizações que utilizam GitHub Actions devem habilitar a verificação de assinaturas de workflow e adotar políticas de aprovação de pull request que incluam revisão de alterações em arquivos de configuração. A divulgação da campanha serve como alerta para a comunidade de código aberto, reforçando a necessidade de práticas de segurança mais robustas na cadeia de suprimentos de software. Fonte: The Hacker News.