セキュリティ企業Socketは、10のPHPパッケージに追加された583個の悪意のあるGitHub Actionsワークフローを検出しました。これらのワークフローは、開発者のアカウントへの不正アクセスによって追加され、それぞれがGitHubが提供するランナー環境を起動してLinuxペイロードをダウンロードします。このペイロードは、CVE-2026-41940という脆弱性を持つcPanelおよびWHMサーバーをスキャンし、SSHキー、APIキー、データベース情報などの機密データを収集します。

攻撃者は、これらの攻撃をパッケージ利用者のシステムではなく、GitHubのクラウドインフラ自体で実行しています。この手法は攻撃の追跡を困難にし、従来のパッケージポイズニングとは異なる戦術を用いています。各ワークフローは、攻撃結果をC2サーバーへHTTP POSTリクエストで送信し、これらのデータは他のシステムへのアクセスに利用されます。

同じ攻撃グループが、200以上のGitHubリポジトリでWindowsベースのマルウェアを配布していたことも確認されました。これらのリポジトリは、暗号ウォレット統合やゲームチートのように見せかけてユーザーを欺き、PowerShellスクリプトを通じて悪意のあるペイロードをダウンロードします。これらの活動は、以前「Water Curse」として特定されたグループと関連していると見られています。