GitHub Actions yeniden açıldı, kötü amaçlı yük aktif kaldı

Yılın mayıs kampanyasına ait zararlı kod, iki GitHub Action deposu yeniden erişilebilir olunca version tag kullanan iş akışlarında tekrar çalışabildi.

Güncellendi: 6 Ekim 2026

İki depo, yani compromised durumdaki actions-cool/issues-helper ve actions-cool/maintain-one-comment, 16 Eylül ile 25 Eylül arasında yeniden erişilebilir hale geldi. Bu sırada release tag’leri hâlâ kötü amaçlı yükü işaret ediyordu; dolayısıyla version tag ile yapılandırılmış iş akışları Mayıs’ta eklenen zararlı kodu yeniden çalıştırabildi.

Socket, GitHub’ın dependency graph’ında issues-helper için yaklaşık 15,000 repository göründüğünü söyledi; ancak bunun hepsinin etkilendiği anlamına gelmediğini de ekledi. Mayıs ayındaki Mini Shai-Hulud kampanyası 323 npm package ve 639 package version’ı enfekte etmiş, geliştiricilerin token’larını, credentials’larını ve CI/CD secrets’larını hedefleyen malware taşımıştı. Socket’e göre her iki action da 25 Eylül’de tekrar devre dışı bırakıldı; bu kez onlara referans veren iş akışları payload’ı çalıştırmak yerine hata verdi. Socket, action’ların kaldırılmasını ya da doğrulanmış temiz bir commit’e pinlenmesini, 16 Eylül’den sonraki run’ların incelenmesini ve bu tag’leri kullanan iş akışlarının erişebildiği secrets’ların rotate edilmesini önerdi.