Auf den Punkt: Der Shai-Hulud-Wurm hat sich über die npm-Bibliothek keyv und weitere Pakete verbreitet und betrifft inzwischen mehr als 440 npm-Pakete im JavaScript-Ökosystem.
Die populäre Key-Value-Datenbank keyv und weitere weit verbreitete npm-Pakete sind Ziel einer Software-Lieferkettenattacke geworden. Der als Shai-Hulud bezeichnete Wurm hat sich über infizierte Pakete verbreitet und betrifft nach aktuellem Stand mehr als 440 npm-Pakete.
Sicherheitsforscher haben eine Lieferkettenattacke auf das npm-Ökosystem identifiziert, bei der das populäre Paket keyv sowie zahlreiche weitere weit verbreitete npm-Pakete kompromittiert wurden. Der Angriff wird als Shai-Hulud-Wurm bezeichnet und hat sich selbstständig über infizierte Abhängigkeiten fortgepflanzt. Nach aktuellem Kenntnisstand sind mehr als 440 npm-Pakete betroffen.
Für CISOs ist dieser Vorfall relevant, weil npm-Pakete tief in Build- und CI/CD-Pipelines eingebettet sind und sich über transitive Abhängigkeiten ungeprüft in Produktionscode einschleusen können. Ein wurmartiges Verbreitungsmuster erhöht das Risiko, dass auch Organisationen betroffen sind, die keyv oder die ursprünglich befallenen Pakete nicht direkt, sondern nur mittelbar über andere Bibliotheken einsetzen. Der potenzielle Schaden reicht von Datenabfluss bis zur Kompromittierung von Entwicklungsumgebungen und Deployment-Prozessen.
Sicherheitsverantwortliche sollten kurzfristig ihre Software-Bill-of-Materials (SBOM) auf die Nutzung von keyv und verwandten Paketen prüfen, betroffene Versionen identifizieren und Abhängigkeitsbäume auf verdächtige Aktualisierungen kontrollieren. Zudem empfiehlt sich eine Überprüfung von CI/CD-Logs auf ungewöhnliche Paketinstallationen im relevanten Zeitraum sowie eine Sperrung automatischer Updates für Node.js-Abhängigkeiten, bis der Umfang der Kompromittierung vollständig geklärt ist.
Quelle: www.heise.de · Erschienen 7. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.