Gheist 利用被盗 GitHub 令牌，通过 Actions 日志窃取仓库密钥
Wiz 报告在超过 850 个失陷账号中发现超过 13,500 个被植入的分支。攻击者用被盗令牌推送窃密工作流，已在私有仓库和企业环境观察到成功执行。应吊销令牌并轮换暴露的密钥。
- 披露时间
- 2026年10月25日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 被盗令牌可写入工作流的仓库；私有仓库和 GHES 不受 GitHub 公共仓库审批暂缓机制保护
- github-actions
- 在野利用
- 已发现
- Wiz 观察到私有仓库中的执行，以及后续对 AWS Secrets Manager 的枚举。
发生了什么
攻击者需要能够推送工作流的被盗令牌。密钥编码后可避开按原值匹配的日志掩码；攻击者通过 GitHub API 获取日志，然后删除任务记录。若环境保护允许任务运行，环境矩阵也可能让攻击者获取环境密钥。Wiz 的分支及账号总量不是成功窃取密钥的次数。
GitHub 的自动暂缓机制阻止了 Wiz 检查过的全部公共仓库任务，但不覆盖私有仓库或 GitHub Enterprise Server。这不能证明每个公共工作流都安全。自托管载荷还会尝试收集主机、Docker 和元数据中的信息，但 Wiz 发现其存在缺陷：运行器密钥文件找错了，URL 凭据正则表达式有误，也没有采集 GCP 或 Azure 令牌。
这与 GhostAction 是不同事件；同样滥用凭据，不能证明背后是同一操作者。软件补丁不能代替令牌吊销和密钥轮换。由于已观察到密钥窃取及后续云端活动，评级为 L4。
案发时间线
2026年9月15日
Wiz 开始跟踪攻击活动
2026年10月19日
一个变体加入自托管运行器任务
2026年10月24日
Wiz 观测截止时攻击仍在持续
2026年10月25日
Wiz 发布攻击调查报告
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Wiz Gheist 调查一手来源10月25日一手调查：账号及分支数量、私有仓库执行证据、完整指标、载荷限制及处置步骤。
- GitHub 恶意工作流审批保护一手来源部分可疑任务需要具有写权限的协作者通过已认证的网页会话批准；适用于 github.com 公共仓库，不涵盖私有仓库或 GHES。