[해외보안뉴스] 탈취되었던 GitHub Actions, 복구 후 악성코드 재실행으로 다시 비활성화
· 2026-09-25 16:00
· 조회 19
· 원문 ↗
지난 May 2026 'Mini Shai-Hulud' 캠페인 당시 침해되었던 인기 GitHub Actions 리포지토리들이 최근 다시 접근 가능해지면서 악성코드 실행을 재개한 것으로 확인되었습니다. 이에 따라 GitHub 측은 문제의 리포지토리들을 두 번째로 비활성화 조치했습니다. 해당 리포지토리들은 보안 침해 사고 이후 차단되어 있었으나, 최근 복구되는 과정에서 기존 악성 워크플로우가 다시 작동하여 동일한 공급망 공격 위험을 재발시켰습니다.
영향을 받는 GitHub Actions는 actions-cool/issues-helper 및 actions-cool/maintain-one-comment 2종입니다. 두 액션 모두 다수의 오픈소스 프로젝트와 기업의 CI/CD 파이프라인에서 이슈 정리 및 댓글 관리를 위해 흔히 사용되던 도구입니다. 리포지토리가 다시 활성화된 기간 동안 자동화 워크플로우를 실행한 프로젝트들은 Mini Shai-Hulud 악성코드에 감염되었을 위험이 있으며, 빌드 환경 탈취나 민감한 비밀 정보(Secrets) 유출 등의 피해를 입었을 수 있습니다.
이러한 공급망 공격 피해를 방지하기 위해 개발자 및 보안팀은 프로젝트의 워크플로우 파일에서 해당 액션(actions-cool)의 사용 여부를 즉시 점검하고 사용 중인 경우 즉시 제거해야 합니다. 또한, 타사 GitHub Actions를 도입할 때는 변경 가능한 버전 태그 대신 고정된 특정 커밋 SHA를 지정해 사용하는 것이 안전합니다. 침해 기간 중 해당 액션을 실행했을 가능성이 있는 시스템은 CI/CD 환경에 저장된 API 키, 액세스 토큰 등 비밀 정보를 즉시 순환(Rotation) 및 재발급해야 합니다.
오픈소스 GitHub Action을 타깃으로 한 공급망(Supply Chain) 공격이 지속되면서 CI/CD 파이프라인의 보안 위협이 더욱 심각해지고 있습니다.
외부 액션을 사용할 때는 언제든 변조될 수 있는 버전 태그(
@v1) 대신, 변경 불가능한 커밋 SHA를 명시하여 핀(Pinning)하는 실무 방식이 필수적입니다.나아가 파이프라인 내
permissions를 최소 권한으로 제한하고, 사내 핵심 빌드 프로세스에는 검증된 액션만 내부 레포지토리로 미러링하여 사용하는 아키텍처적 대비가 필요합니다.GitHub Actions를 타깃으로 한 공급망 공격은 자동화된 CI/CD 파이프라인을 타고 하위 프로젝트들로 권한을 확장할 수 있는 매우 치명적인 공격 벡터입니다. 특히 태그 기반으로 액션을 참조하는 워크플로우 특성상, 침해된 리포지토리가 재활성화되는 즉시 타깃 시스템에서 악성코드가 검증 없이 자동 실행되는 구조적 약점이 드러납니다. 공격자 관점에서는 이러한 공용 액션을 점거함으로써 단기간에 광범위한 침투 기반과 지속성(Persistence)을 동시에 확보할 수 있습니다.
개발 편의성을 위해 사용하는 서드파티 CI/CD 도구가 소프트웨어 공급망 공격의 재발 통로가 될 수 있음을 보여주는 대표적인 리스크 사례입니다.
우리 조직은 외부 GitHub Action의 사용을 사전 승인된 목록으로 엄격히 제한하고, 버전 지정 시 태그가 아닌 불변성을 보장하는 커밋 SHA 방식을 적용하도록 보안 정책을 즉각 강화해야 합니다.
소프트웨어 빌드 및 배포 파이프라인의 무결성을 상시 검증할 수 있는 DevSecOps 거버넌스 체계를 지속적으로 재정비하겠습니다.