Een campagne die draait op Gheist GitHub tokens zet verborgen workflows in die repository-secrets in GitHub Actions-logbestanden plaatsen. Die runs worden daarna snel verwijderd—waardoor je proactief moet zoeken en roteren.
Bij de GhostAction GitHub aanval zijn circa 1.900 GitHub-accounts gecompromitteerd. Daarmee werden op grote schaal misleidende GitHub Actions workflows gepusht om CI/CD-secrets en tokens te ontfutselen.
Onderzoekers waarschuwen voor een GhostAction-campagne waarbij aanvallers ‘Security Audit’-workflows in duizenden GitHub-repositories plaatsen. Daarmee stelen ze credentials uit secrets, werkruimte én volledige git-historie.
Gecompromitteerde GitHub Actions kwamen na maanden weer beschikbaar en bleken nog steeds kwaadaardige code te bevatten. Daardoor konden workflows opnieuw payloads downloaden en uitvoeren, zonder nieuwe wijzigingen.
Een GitHub Actions flaw in een Snowflake GitHub-repository maakte het mogelijk om via een crafted issue command injection te starten binnen CI/CD. Snowflake bracht op tijd een fix en roteerde het getroffen JIRA-token.
Novee Security toonde aan dat CI-workflows via GitHub-issues konden leiden tot code-uitvoering op CI-runners, met gelekte tokens als risico. Update Claude Code en Gemini CLI naar de gepatchte versies en audit workflows die extern kunnen worden getriggerd.
