Auf den Punkt: Über 800 npm-Pakete mit Millionen Downloads wurden nach der Übernahme eines Entwicklerkontos im Rahmen der Shai-Hulud-Kampagne kompromittiert.
Eine neue Angriffswelle der als Shai-Hulud bekannten Kampagne hat nach der Übernahme eines Entwicklerkontos mehr als 800 npm-Pakete mit Millionen Downloads kompromittiert. Die Information wurde am 4. August 2026 über die Plattform X bekannt.
Nach bislang vorliegenden Angaben gelang es Angreifern, über den Hack eines einzelnen Entwicklerkontos Zugriff auf ein größeres Repertoire an npm-Paketen zu erlangen. Über den kompromittierten Account wurden anschließend präparierte Versionen von mehr als 800 Paketen veröffentlicht. Diese Pakete verzeichnen zusammengenommen Millionen Downloads, was auf eine entsprechend breite Verbreitung in Softwareprojekten schließen lässt. Details zu den konkreten Schadfunktionen der manipulierten Pakete oder zu betroffenen CVE-IDs liegen aus der zitierten Quelle bislang nicht vor.
Für Unternehmen, die Node.js- beziehungsweise JavaScript-basierte Anwendungen entwickeln oder betreiben, stellt ein solcher Supply-Chain-Angriff ein erhebliches Risiko dar. Kompromittierte Pakete gelangen typischerweise automatisiert über Dependency-Management-Systeme in Build-Pipelines und Produktionsumgebungen, oft ohne dass ein manueller Review-Schritt greift. Die schiere Zahl von über 800 betroffenen Paketen erhöht die Wahrscheinlichkeit, dass auch in eigenen Projekten mindestens eine transitive Abhängigkeit betroffen sein könnte.
CISOs und Security-Teams sollten kurzfristig prüfen, ob in ihren Software-Bill-of-Materials (SBOM) beziehungsweise Lockfiles Pakete aus der betroffenen Liste auftauchen, sobald diese von npm oder Sicherheitsforschern veröffentlicht wird. Bis konkrete Paketnamen vorliegen, empfiehlt sich eine erhöhte Wachsamkeit bei automatisierten Dependency-Updates sowie eine Überprüfung, ob im eigenen Build-Prozess Integritätsprüfungen (z. B. über Lockfile-Hashes, Signaturen oder Provenance-Attestierungen) konsequent durchgesetzt werden. Weitere Informationen zur genauen Natur der Kampagne, den betroffenen Paketen und möglichen Indicators of Compromise sollten über die npm-Sicherheitshinweise sowie einschlägige Threat-Intelligence-Quellen verfolgt werden.
Quelle: borncity.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.