Pada awal Oktober 2026, ekosistem open-source kembali diguncang operasi supply chain yang menyasar jantung alur kerja CI/CD: file workflow GitHub Actions. Kampanye yang dijuluki GhostAction ini bukan barang baru—ia pertama terungkap September 2025—tapi gelombang terbarunya jauh lebih agresif dan kini menyasar kredensial cloud serta kunci API AI, bukan sekadar secrets CI/CD.
Inti serangannya sederhana tapi mematikan. Penyerang lebih dulu menguasai kredensial seorang maintainer—kemungkinan besar personal access token (PAT) yang bocor dari log infostealer atau dump kredensial. Dengan akses itu, mereka memindai file workflow di repository korban untuk mengenali nama-nama secrets, lalu menyuntikkan satu file workflow palsu ke branch default. Karena commit dibuat memakai identitas maintainer korban sendiri, perubahan itu nyaris tak terlihat di review sekilas.
Anatomi serangan: workflow “audit keamanan” yang mencuri data
File jahat itu diberi nama yang meyakinkan: security-audit.yml dengan judul “Security Audit”, atau github_actions_security.yml dengan judul “GitHub Actions Security”. Dari luar tampak seperti peningkatan keamanan, padahal isinya payload eksfiltrasi.
Workflow ini terpicu oleh workflow_dispatch dan push tanpa filter—semua branch, semua tag. Ia checkout dengan fetch-depth: 0 agar bisa membaca seluruh riwayat git, lalu menjalankan satu langkah “Audit” yang melakukan empat hal: menambahkan secrets Actions yang ditemukan saat reconnaissance, memindai working tree terhadap 13 pola kredensial (kunci AWS, layanan AI, kontrol sumber, hingga API SaaS dan cloud), memeriksa seluruh riwayat git untuk pola yang sama, dan memasangkan AWS access key ID dengan secret access key pasangannya.
Hasilnya dikirim ke satu alamat IP hard-coded, 193.32.204[.]199, melalui HTTP polos alias tanpa enkripsi. Artinya kredensial CI/CD, kunci AWS, API key Anthropic/OpenAI/OpenRouter, serta token GitHub dan GitLab semuanya melintas terbuka di jaringan.
“Eight hours later, the account of Henry Wu (henrywoo), the original author of Uber’s athenadriver, was used to push the same workflow to 318 repositories in a 16-minute window, 21:10–21:26 UTC.” — StepSecurity
Dua akun maintainer, ratusan repo dalam hitungan jam
Kecepatan penyebarannya yang paling mencolok. Akun Takashi Kitao, penulis game engine pyxel (18.400 bintang), dipakai menyuntikkan workflow jahat ke 27 repo mulai 13:20 UTC. Delapan jam berselang, giliran akun Henry Wu (henrywoo), penulis asli athenadriver milik Uber, yang dipakai mendorong workflow yang sama ke 318 repo hanya dalam 16 menit.
Skalanya terus membesar. Per 9 Oktober 2026, Socket mengidentifikasi lebih dari 500 akun GitHub yang meng-commit workflow jahat ke puluhan ribu repo sejak 7 Oktober 2026. StepSecurity mencatat sekitar 378 repo masih menampung payload aktif, dengan 182 di antaranya menunjukkan penanda penambangan riwayat git.
Ini masih satu keluarga dengan kampanye lama. GhostAction pertama muncul September 2025, saat itu menghantam 817 repo di 327 pengguna GitHub dan mengeksfiltrasi 3.325 secrets. Yang berbeda kini: payloadnya menambang kredensial dari riwayat git, sehingga rahasia yang pernah di-commit lalu dihapus pun ikut terekspos.
Yang harus dicek maintainer dan developer di Indonesia
Kalau kamu mengelola repo atau terlibat di pipeline CI/CD, jangan tunggu jadi korban. Lakukan audit cepat berikut:
1. Periksa folder .github/workflows. Cari file security-audit.yml, github_actions_security.yml, atau security-check.yml yang muncul sejak akhir Agustus 2026. Kalau ada, anggap repo sudah terkompromi.
2. Audit commit tak dikenal. Telusuri riwayat commit untuk pesan seperti “Add security audit workflow” atau “Update Github Actions Security workflow” yang tidak kamu buat.
3. Rotasi dan cabut kredensial. Ganti semua secrets Actions yang terekspos, begitu juga kunci AWS, token GitHub/GitLab, dan API key. Karena payload ini menyisir riwayat git, kredensial yang pernah di-commit di masa lalu juga wajib dianggap bocor. Cabut (revoke) bukan sekadar rotasi—PAT dan sesi yang membuka jalan masuk harus dimatikan.
4. Bersihkan semua branch dan fork. Hapus workflow jahat dari seluruh branch, lalu periksa fork—termasuk fork privat dan mirror hilir, yang justru paling terekspos karena di sanalah kredensial sering tersimpan.
5. Perketat kontrol alur kerja. Wajibkan review untuk setiap perubahan workflow, terapkan least-privilege pada izin Actions, aktifkan MFA yang tahan phishing, dan pantau trafik keluar dari runner CI.
Pelajaran besarnya jelas: satu kredensial maintainer yang bocor bisa berubah menjadi insiden lintas organisasi dalam hitungan menit. Menghapus file workflow saja tidak cukup—akar masalahnya, yaitu token yang dipakai menanamnya, harus ikut dicabut, atau aktor lain yang memegang kredensial itu bisa kembali kapan saja.
Sumber
- The Hacker News — “Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories” (9 Oktober 2026): https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- StepSecurity — “GhostAction Returns” (Oktober 2026): https://www.stepsecurity.io/blog/ghostaction-returns
- GitGuardian — “GhostAction Returns: 772 Repos Hit in New GitHub Actions Wave” (Oktober 2026): https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- Bleeping Computer — “Hackers steal 3,325 secrets in GhostAction GitHub supply chain attack” (8 September 2025): https://www.bleepingcomputer.com/news/security/hackers-steal-3-325-secrets-in-ghostaction-github-supply-chain-attack/
