Ataque à GitHub Actions redireciona tags pra roubar credenciais de CI/CD

Mais um ataque à cadeia de suprimentos atingiu o GitHub: a popular action actions-cool/issues-helper foi comprometida e todas as suas tags agora apontam pra um commit impostor.

Quem descobriu foi a StepSecurity. O commit malicioso baixa o runtime Bun, lê a memória do processo Runner.Worker pra extrair credenciais e envia os dados pra um servidor controlado pelo atacante. Outras 15 tags da action actions-cool/maintain-one-comment sofreram o mesmo destino, e o domínio de exfiltração coincide com o da campanha Mini Shai-Hulud que está atacando pacotes npm.

A defesa é desconfortável mas conhecida: fixe suas actions por SHA completo, nunca por tag ou branch — só workflows assim escapam ilesos.

👉 Leia o artigo completo de Ravie Lakshmanan no The Hacker News

Créditos: Ravie Lakshmanan / The Hacker News — Maio 2026