该漏洞编号为 CVE-2026-31976，CVSS 评分高达 9.4，对 CI/CD 流水线构成极度危险。

这段恶意代码伪装成无害的 “扫描器版本遥测” 步骤，旨在 CI 运行环境中实现高度隐蔽与持久化。触发后，后门按三步执行：

1. 注册上线：CI 执行机向 C2 服务器注册，上报主机名、用户名与系统版本。
2. 指令执行：在 180 秒内持续轮训服务器，通过 eval 接收并执行任意系统命令。
3. 数据回传：指令执行结果经压缩、Base64 编码后回传给攻击者。

为进一步规避检测，该恶意程序使用随机轮询间隔、关闭 TLS 证书校验并屏蔽所有错误输出。

• 固定到安全提交：将工作流更新为指向 v6.4.0 的校验通过提交哈希：

  xygeni/xygeni-action@13c6ed2797df7d85749864e2cbcf09c893f43b23

• 密钥轮换：轮换所有 CI 执行机可访问的密钥，包括云令牌、部署密钥、仓库密钥等。
• 审计排查：检查 CI 日志中是否存在对恶意 IP 91.214.78.178的连接，并核查近期构建产物是否被篡改。

如需完全避开受影响的 GitHub Action，Xygeni 建议直接使用CLI 安装方式，该方式不受本次事件影响。