Lühidalt: Üle 800 npm-paketi, mille allalaadimiste arv ulatub miljonitesse, said kompromiteeritud pärast arendajakonto ülevõtmist Shai-Hulud kampaania raames.
Shai-Hulud nime kandva kampaania uus rünnakulaine kompromiteeris pärast arendajakonto ülevõtmist üle 800 npm-paketi, millel on kokku miljoneid allalaadimisi. Info sellest sai avalikuks 4. augustil 2026 platvormi X kaudu.
Siiani teadaolevate andmete kohaselt õnnestus ründajatel ühe arendajakonto häkkimise teel pääseda ligi märkimisväärsele hulgale npm-pakettidele. Kompromiteeritud konto kaudu avaldati seejärel enam kui 800 paketi pahatahtlikult muudetud versioonid. Nendel pakettidel on kokku miljoneid allalaadimisi, mis viitab nende ulatuslikule levikule tarkvaraprojektides. Viidatud allikas ei sisalda seni täpsemaid andmeid manipuleeritud pakettide konkreetsete kahjulike funktsioonide ega asjaomaste CVE-tunnuste kohta.
Ettevõtetele, kes arendavad või kasutavad Node.js- või JavaScript-põhiseid rakendusi, kujutab selline tarneahela rünnak endast märkimisväärset riski. Kompromiteeritud paketid jõuavad tavaliselt automaatselt sõltuvuste haldussüsteemide kaudu build-torustikesse ja tootmiskeskkondadesse, sageli ilma käsitsi tehtava ülevaatuseta. Üle 800 mõjutatud paketi suur arv suurendab tõenäosust, et ka omaenda projektides võib leiduda vähemalt üks mõjutatud transitiivne sõltuvus.
Infoturbejuhid (CISO) ja turvameeskonnad peaksid niipea kui võimalik kontrollima, kas nende tarkvara koostisosade loeteludes (SBOM) või lockfailides esinevad mõjutatud loetelu paketid, kui npm või turbeuurijad selle avaldavad. Kuni konkreetsed paketinimed pole teada, on soovitatav suurendada tähelepanelikkust automaatsete sõltuvuste uuenduste suhtes ning kontrollida, kas oma build-protsessis rakendatakse järjekindlalt terviklikkuse kontrolle (näiteks lockfaili rässide, allkirjade või päritolu tõendite kaudu). Täpsemat teavet kampaania olemuse, mõjutatud pakettide ja võimalike kompromiteerimise indikaatorite kohta tuleks jälgida npm-i turbeteadete ning asjakohaste ohuluure allikate kaudu.
Allikas: borncity.com · Avaldatud 5. augustil 2026
Lumi AI News — tehisintellekti abil kureeritud sisu vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.