Forscher beschreiben GitHub-Actions-CI-Muster, das gängige Sicherheitsscanner umgeht

Sicherheitsforscher haben eine Schwachstelle in GitHub Actions identifiziert, die für herkömmliche CI-Sicherheitstools unsichtbar bleiben kann, weil das Problem nicht in einer einzelnen Workflow-Datei liegt, sondern darin, wie mehrere Workflows miteinander interagieren.

Im Juni 2026 erklärte Novee Security, rund 30.000 besonders wichtige Repositories aus den Bereichen npm, PyPI, crates.io und Go untersucht und 654 potenziell betroffene Fälle gefunden zu haben. Mehr als 300 davon wurden als ausnutzbar bestätigt. Das als Cordyceps bezeichnete Problem betraf Build-Pipelines großer Organisationen, darunter Microsoft, Google, Apache, Cloudflare und die Python Software Foundation.

Den Forschern zufolge benötigten Angreifer lediglich ein kostenloses GitHub-Konto, um mit dem Missbrauch dieses Musters zu beginnen. Die Gefahr entstand, wenn Workflows für nicht vertrauenswürdige Pull Requests mit Workflows mit höheren Berechtigungen kombiniert wurden, die auf Geheimnisse zugreifen oder Schreibrechte besitzen konnten. Das GitHub Security Lab hat ähnliche Angriffspfade als pwn request bezeichnet.

So funktioniert der Angriff

Der Bericht hebt drei gängige Wege zur Kompromittierung hervor:

• Command Injection, wenn von Angreifern kontrollierte Werte direkt in Shell-Befehle eingefügt werden.
• Code-Injection, wenn Workflow-Skripte nicht vertrauenswürdige Eingaben als JavaScript auswerten.
• Workflow-übergreifende Rechteausweitung, wenn Daten aus einem Job mit geringem Vertrauensniveau von einem späteren Job mit höheren Berechtigungen verarbeitet werden.

Da jede einzelne Workflow-Datei für sich genommen gültig erscheinen kann, kennzeichnen Scanner, die Dateien einzeln prüfen, das Risiko möglicherweise nicht. Novees These lautet, dass der Fehler aus der Verbindung zwischen den Workflows entsteht und nicht aus einer einzelnen fehlerhaften Zeile.

Die Forscher nannten Beispiele aus Microsofts Repository Azure Sentinel, bei dem ein Kommentar zu einem Pull Request die Ausführung von Code in der CI auslösen und einen GitHub-App-Schlüssel offenlegen konnte, sowie aus Googles Beispielprojekt AI Agent Development Kit, bei dem eine ähnliche Angriffskette zu umfassendem Cloud-Zugriff führen konnte. Auch bei Apache Doris soll ein verwandtes Problem bestanden haben, das später behoben wurde.

Novee erklärte, keine Belege dafür gefunden zu haben, dass diese Technik bei aktiven Angriffen eingesetzt wurde. Dennoch warnt der Bericht, dass KI-gestützte Entwicklung das Problem verstärken könnte, indem sie unsichere Workflow-Muster in großem Umfang erzeugt. Zu den empfohlenen Schutzmaßnahmen gehören die Verwendung von pull_request anstelle von pull_request_target für nicht vertrauenswürdige Beiträge, die Einschränkung der standardmäßigen Token-Berechtigungen, das Fixieren von Drittanbieter-Actions auf Commit-SHAs sowie eine manuelle Genehmigung, bevor Jobs mit erweiterten Berechtigungen ausgeführt werden.