Compromised GitHub Actions Came Back Online and Resumed Executing Mini Shai-Hulud Malware
What it means
Due GitHub Actions, compromesse durante la campagna Mini Shai-Hulud nel maggio 2026, sono state reattivate il 16 settembre 2026, riprendendo l'esecuzione del malware. Le attività di exfiltrazione dati sono state associate al cluster Mini Shai-Hulud. La minaccia è rimasta attiva senza modifiche al codice o alle configurazioni.
Why it matters
Le PMI italiane potrebbero subire rischi significativi nella catena di fornitura software, con esecuzione di malware senza intervento ulteriore da parte degli attaccanti. Le vulnerabilità nei workflow CI/CD possono portare a compromissioni di credenziali e dati sensibili.
Recommended actions
- Identificare e rimuovere ogni riferimento alle azioni interessate
- Pin le azioni a un commit SHA noto pulito prima del 18 maggio 2026
- Rotare tutte le credenziali esposte
- Controllare la cronologia delle esecuzioni di workflow per nuove attività riuscite
- Audit della cronologia del repository per commit inaspettati dopo il 16 settembre 2026
- Verificare l'uso di tag mutabili e adottare la pinning SHA
Potential operational benefits
- Riduzione della superficie esposta per le vulnerabilità di supply chain
- Maggiore controllo sulle dipendenze esterne e sulle azioni CI/CD
- Minimizzazione del rischio di esecuzione di malware senza intervento attivo
Translation in progress
The official content is available in the original language. The Italian version will be published once automated checks are complete.
Text acquired from the source
Two actions-cool GitHub Actions have been disabled for a second time after the repositories became accessible last week, months after they were compromised during the May 2026 Mini Shai-Hulud campaign. The affected GitHub Actions are listed below - actions-cool/issues-helper actions-cool/maintain-one-comment Visiting either of the repositories now shows the message: "Access to this
- Source
- The Hacker News
- Publishing entity
- The Hacker News
- Entity type
- editorial osint
- Area
- Global
- Original language
- en · translation in preparation
- Publication
- 25/09/2026 16:44
- MITRE ATT&CK
- T1486, T1078