ALERTA PARA EMPRESAS QUE USAN GITHUB: DOS HERRAMIENTAS AUTOMATIZADAS VOLVIERON A DISTRIBUIR CÓDIGO MALICIOSO

ALERTA PARA EMPRESAS QUE USAN GITHUB: DOS HERRAMIENTAS AUTOMATIZADAS VOLVIERON A DISTRIBUIR CÓDIGO MALICIOSO

Categoría: Tecnología – Ciberseguridad Tipo: Alerta de seguridad Impacto: Alto Fecha: 26 de septiembre de 2026 Plataforma afectada: GitHub Actions

¿QUÉ PASÓ?

Una nueva alerta de seguridad afecta a empresas y desarrolladores que utilizan GitHub Actions para automatizar procesos relacionados con el desarrollo y mantenimiento de software.

Dos Actions conocidas como actions-cool/issues-helper y actions-cool/maintain-one-comment, que habían estado relacionadas con un incidente de seguridad anterior, volvieron a estar disponibles durante septiembre conservando referencias vinculadas con código malicioso.

El riesgo resulta especialmente importante porque una GitHub Action puede ejecutarse automáticamente dentro de los procesos de desarrollo de una empresa y tener acceso a información utilizada para compilar, probar o publicar aplicaciones.

La actividad maliciosa buscaba obtener información sensible disponible dentro de esos entornos, incluidos tokens, credenciales y secretos.

¿A QUIÉN AFECTA?

Principalmente a empresas que desarrollan software propio o contratan equipos de programación que utilizan GitHub para almacenar código y GitHub Actions para automatizar tareas.

También deben prestar atención las empresas de software, plataformas digitales, fintech, comercio electrónico y organizaciones que mantienen integraciones automáticas entre GitHub y sus servidores, servicios en la nube u otras herramientas empresariales.

Una empresa puede utilizar GitHub Actions aunque su administración o gerencia no conozca directamente esta herramienta, porque normalmente forma parte de la infraestructura utilizada por su equipo de tecnología.

¿POR QUÉ IMPORTA?

El problema no consiste únicamente en que pueda alterarse una parte del código.

Los procesos automáticos de desarrollo pueden almacenar credenciales que permiten conectarse con servidores, bases de datos, servicios en la nube y otras plataformas.

Si una herramienta maliciosa consigue acceder a esos secretos, un atacante podría intentar utilizarlos posteriormente para ingresar a otros sistemas de la empresa.

Se informó que alrededor de 15.000 repositorios aparecen como dependientes de una de las Actions involucradas. Esto no significa que todos esos repositorios hayan sido comprometidos, pero demuestra el alcance potencial que puede tener una dependencia utilizada masivamente.

EJEMPLO PRÁCTICO

Una empresa tiene un software de facturación y su equipo de programación utiliza GitHub.

Cada vez que un desarrollador actualiza el programa, GitHub Actions ejecuta automáticamente pruebas y posteriormente publica una nueva versión.

Para realizar esas tareas, el proceso automático utiliza determinadas credenciales.

Si dentro de ese proceso se incorporó una Action comprometida, existe el riesgo de que información sensible disponible durante la ejecución haya quedado expuesta.

Cambiar únicamente el código afectado puede no ser suficiente si las credenciales ya pudieron ser conocidas por un tercero.

¿QUÉ DEBE HACER LA EMPRESA?

Las empresas que utilizan GitHub deberían solicitar a su responsable de tecnología o proveedor de software que revise si alguno de sus proyectos utilizó actions-cool/issues-helper o actions-cool/maintain-one-comment.

Si estuvieron presentes durante el período potencialmente afectado, debe revisarse el historial de ejecuciones y determinar qué credenciales o secretos pudieron estar disponibles.

Cuando exista posibilidad razonable de exposición, corresponde reemplazar o rotar las credenciales comprometidas y revisar los registros de acceso de los servicios relacionados.

La revisión también debería extenderse a las dependencias utilizadas dentro de los procesos automáticos de desarrollo. Una empresa puede proteger adecuadamente su propio código y, aun así, incorporar riesgo mediante herramientas externas que ejecuta automáticamente.

ESTADO ACTUAL

El incidente fue reportado el 26 de septiembre de 2026 después de detectarse que las Actions afectadas habían vuelto a estar disponibles conservando referencias asociadas con la carga maliciosa.

La existencia de repositorios dependientes de estas herramientas no demuestra por sí sola que todos hayan sido comprometidos.

Las empresas que las hayan utilizado deben determinar individualmente si los workflows afectados llegaron a ejecutarse, qué información estuvo disponible durante esas ejecuciones y si resulta necesario reemplazar credenciales o adoptar medidas adicionales de seguridad.