[해외보안뉴스] 악성 페이로드 남아있는 GitHub Actions 재활성화… 소프트웨어 공급망 위협 지속
· 2026-09-26 21:00
· 조회 18
· 원문 ↗
'Mini Shai-Hulud' 공급망 공격 캠페인으로 악성코드에 감염되었던 제3자 GitHub Actions 프로젝트 2건이 메인테이너(관리자)에 의해 다시 활성화되는 사건이 발생했습니다. 해당 액션들은 악성 서버나 파일로 연결되는 페이로드 코드가 여전히 남아있는 상태였음에도 불구하고, 일주일이 넘는 기간 동안 일반 사용자가 접근하고 실행할 수 있는 상태로 방치되었습니다.
이번 사건은 CI/CD 파이프라인을 노리는 소프트웨어 공급망 공격의 대표적인 위험성을 보여줍니다. 해당 GitHub Actions를 빌드 및 배포 프로세스에 포함시킨 개발자나 기업은 자신도 모르는 사이에 개발 환경에서 악성 페이로드를 실행했을 가능성이 있습니다. 이로 인해 시스템 내 저장된 API 키, 인증 토큰 등의 자격 증명이 유출되거나 추가적인 악성코드가 유입되었을 위험이 존재합니다.
문제의 원인은 오픈소스 메인테이너가 완전한 보안 검증과 페이로드 제거 작업을 마치지 않은 채 리포지토리를 다시 공개 상태로 전환했기 때문입니다. 오픈소스 생태계에서는 관리자의 단순한 실수나 계정 탈취로 인해 이미 알려진 위협이 다시 부활할 수 있으므로, 제3자 주도 소프트웨어 리소스에 대한 무조건적인 신뢰는 매우 위험합니다.
이러한 공급망 보안 위협에 대응하기 위해서는 개발 파이프라인에서 사용 중인 제3자 GitHub Actions 목록을 즉시 전수 조사해야 합니다. 외부 액션을 참조할 때는 버전 태그(예: @v1) 대신 변조가 불가능한 '고정 커밋 SHA(Commit SHA)' 방식을 적용하는 것이 안전합니다. 아울러 CI/CD 환경에서 사용하는 비밀 데이터(Secrets)의 접근 권한을 최소화하고 주기적으로 순환(Rotation)하는 조치가 필요합니다.
서드파티 GitHub Action을 통한 공급망 공격은 이제 메인테이너의 복구 조치만 믿고 방치할 수 없는 위협임을 잘 보여주는 사례입니다.
CI/CD 파이프라인 작성 시 버전 태그(
@v1) 대신 검증된 커밋 SHA를 직접 지정(Pinning)하여 변조된 코드가 즉각 실행되는 위험을 원천 차단해야 합니다.나아가 파이프라인 자체를 제로 트러스트 환경으로 정의하고, 빌드 시크릿의 접근 권한을 최소화하는 방어적 아키텍처 수립이 필수적입니다.
CI/CD 파이프라인을 겨냥한 공급망 공격 관점에서, 손상된 Actions의 검증 없는 재활성화는 공격자에게 즉시 악용 가능한 침투 경로를 다시 열어준 꼴입니다. 다운스트림 리포지토리가 커밋 해시(Commit Hash) 고정 없이 해당 액션을 참조하고 있었다면, 빌드 과정에서 악성 페이로드가 자동 실행되어 CI/CD 시크릿(Secret) 탈취로 직결됩니다. 공격자 입장에서는 별도의 고난도 익스플로잇 없이도 개발 환경의 신뢰 관계를 이용해 조직 내부로 유유히 침투할 수 있는 최적의 공격 벡터입니다.
오픈소스 유지관리자의 관리 소홀이 파이프라인 전체를 위협할 수 있음을 보여주는 전형적인 서플라이 체인(Supply Chain) 리스크입니다.
개발 편의성을 위해 외부 3rd-party GitHub Actions를 검증 없이 사용하는 관행을 즉시 중단하고, 커밋 해시(Commit Hash) 기반의 버전 고정 및 내부 승인 정책을 강제해야 합니다.
CI/CD 파이프라인 역시 제로 트러스트 관점에서 접근해야 하며, 서드파티 모듈에 대한 지속적인 보안 모니터링과 거버넌스 재정비가 시급합니다.