هجوم GhostAction على سلسلة التوريد يختطف أكثر من 340 مستودعاً على GitHub عبر حسابَي مشرفَين

كشف بحث نشرته شركة StepSecurity أن موجةً متجددة من هجوم GhostAction على سلسلة التوريد اخترقت في الثامن من أكتوبر 2026 حسابَين معروفَين لمشرفَين في مجتمع Open Source، واستغلت صلاحيات الرفع لديهما لزرع workflow خبيث عبر GitHub Actions في أكثر من 340 مستودعاً في غضون دقائق.

كان الحساب الأول يخص مطوّر محرك الألعاب pyxel، المشروع الذي يحظى بنحو 18,400 نجمة على GitHub، وقد استُخدم لرفع الـ workflow الخبيث إلى 27 مستودعاً بين الساعة 13:20 و13:44 بتوقيت UTC. وبعد ثماني ساعات، دفع حساب مخترق ثانٍ — يعود إلى المطوّر الأصلي لمكتبة athenadriver المفتوحة المصدر التابعة لـ Uber — الـ workflow ذاته إلى 318 مستودعاً، تشمل 39 مشروعاً أصلياً و279 نسخة مشتقة (fork)، وذلك في نافذة زمنية لم تتجاوز 16 دقيقة. وامتد النفوذ ليطال منظمة Uber على GitHub قبل أن تتمكن الشركة من التدخل.

باتت workflows الخاصة بـ GitHub Actions هدفاً مفضلاً لمهاجمي سلاسل التوريد، إذ يكفي حساب مشرف واحد مخترق لحقن أتمتةٍ خبيثة بصمت في كل مستودع يمتلك صلاحية الكتابة عليه، فتعمل هذه الأتمتة بعدها بثقة بيانات الاعتماد المهيأة مسبقاً للمشروع. وقد كشفت حملة GhostAction الأصلية في سبتمبر 2025 عن سرقة أكثر من 3,300 سرّ من 817 مستودعاً مرتبطاً بـ 327 مطوراً. وأعادت الموجة الثانية توظيف الأسلوب ذاته على نطاق أوسع، واستهدفت أهدافاً أعلى مستوىً.

كانت الملفات المحقونة — المسماة security-audit.yml وصيغة أقدم باسم github_actions_security.yml — مقنّعةً في صورة مهام فحص أمني روتينية. وما إن تُشغَّل حتى تمشّط شجرة العمل بأكملها وسجل git الكامل، بما يشمل الملفات المحذوفة، بحثاً عن 13 فئة من بيانات الاعتماد: مفاتيح AWS للوصول ورموز الجلسة، ومفاتيح API الخاصة بـ Anthropic وOpenAI وOpenRouter، ورموز GitHub وGitLab، ومفاتيح Google وFirebase، ورموز Slack bot، وبيانات اعتماد SendGrid. كما جمعت الأسرار المُسمّاة المهيأة مسبقاً في workflows كل مستودع، كرموز نشر PyPI وCargo. وأُرسل كل ما عُثر عليه بنص واضح إلى خادم قيادة وتحكم محدد مسبقاً في الشيفرة (hardcoded).

بحلول التاسع من أكتوبر، رصدت StepSecurity 378 مستودعاً لا تزال تحمل الـ workflow الخبيث النشط على فرعها الافتراضي، مع أدلة موثّقة على تسريب أسرار مسمّاة من 88 مستودعاً على الأقل. ولم تظهر حتى وقت نشر البحث أي إصدارات خبيثة مرتبطة ببيانات اعتماد النشر المسروقة، غير أن الشركة حذّرت من أن أي مستودع يُظهر عملية تشغيل مكتملة لهذا الـ workflow ينبغي اعتباره خرقاً مؤكداً.

يُذكّرنا هذا الحادث بأن الثقة في عالم Open Source تمر عبر حسابات المشرفين الأفراد لا عبر المنظمات: فقد طال الأمر مستودع Uber الخاص لا لأن الشركة كانت هدفاً مباشراً، بل لأن بيانات الاعتماد المخترقة لأحد المساهمين الخارجيين كانت تتيح الوصول إليه. وتحثّ StepSecurity كل من يشرف على المشاريع المتضررة على تدوير كل بيانات اعتماد سبق إيداعها في أي فرع — إذ يقرأ نظام التعدين التاريخي للهجوم أسراراً حُذفت منذ أمد بعيد — وإلغاء الجلسات المخترقة، وإزالة الـ workflow من جميع الفروع والنسخ المشتقة، واشتراط مراجعة الـ Pull Request قبل أي تعديل على مجلد .github/workflows في أي مستودع.