Fàilte gu Deasachadh an Ògmhios de Xygeni Malicious Code DigestAm mìos seo, dhearbh an sgioba rannsachaidh tèarainteachd againn barrachd air 645 pasgan droch-rùnach thar npm, PyPI, agus (airson a’ chiad uair) margaidh leudachaidh VSCode.
Bha an t-Ògmhios air a chomharrachadh le trì gluasadan a bha a’ tighinn còmhla: iomairtean leantainneach tuiltean dreach a chaidh a dhealbhadh gus mairsinn nas fhaide na liostaichean bacaidh, luathachadh mòr ann an ionnsaighean a tha ag amas air innealan AI agus sruthan-obrach leasachaidh riochdairean, agus ionnsaighean troimh-chèile eisimeileachd co-òrdanaichte an aghaidh àiteachan-ainm monorepo a-staigh.
Am measg nan iomairtean as ainmeile a chaidh a chlàradh air a’ mhìos seo:
- cugallachd chuir e npm fo thuil le còrr is 70 dreach thar raon 2.5.x, iomairt leantainneach airson seachnadh a bhith ag ath-fhoillseachadh gu leantainneach gus fuireach air thoiseach air toirt air falbh.
- A iomairt dà-thonn Solana typosquat (7–8 Ògmhios) dh’fhoillsich e 15 pasganan a’ dèanamh aithris air daoine eile.
@solana-labsinnealan eag-shiostam, ag amas gu dìreach air luchd-leasachaidh Web3 agus DeFi. - houzidawang806 rinn iad cunntas air còrr is 25 dreach ann an aon latha (13 Ògmhios), còmhla ri meatairean-pipeline-d8k2 air ath-fhoillseachadh thar 21 dreach eadar 15–18 Ògmhios.
- Tha Troimh-chèile CryptoDAO Dh’fhoillsich an iomairt (17 Ògmhios) 11 pasgan aig dreach 99.99.99, gach fear a’ giùlan sguabadh luchd iar-stàlaidh co-ionann. CI/CD comharran, teisteanasan sgòthan, agus dìomhaireachdan wallet crypto.
- Thug seachdain 20–26 Ògmhios an targaideadh innealan AI as dùmhaile den mhìos: luchd-cuideachaidh ollama (20 dreachan), luchd-cuideachaidh riochdairean openai (23 dreachan), monoclaude, luchd-cuideachaidh ai-sdk, agus @langgraphjs/pasgan-innealan, uile air an dearbhadh ann an aon seachdain, ag amas gu dìreach air amalachadh Ollama, OpenAI agents SDK, LangGraph, agus Claude API.
- Dà air an dearbhadh leudachaidhean VSCode droch-rùnach nochd a’ mhìos seo, a’ comharrachadh gu bheil luchd-ionnsaigh a’ leudachadh nas fhaide na clàran pacaidean a-steach don àrainneachd leasaiche fhèin.
Am pàtran sònraichte san Ògmhios: tha ionnsaighean a’ gluasad a-steach do leudachaidhean IDE, innealan riochdairean AI, agus sruthan-obrach riochdairean far nach eil neach-sgrùdaidh daonna aig pasgan droch-rùnach a thèid a stàladh gu fèin-ghluasadach eadar galar agus cur an gnìomh.
Tha an ùrachadh mìosail seo nam pàirt de iomairt rannsachaidh leantainneach Xygeni air malware agus bagairtean slabhraidh solair. Airson làn cho-theacsa thar gach pasgan droch-rùnach a chaidh a dhearbhadh air a’ mhìos seo, thoir sùil air an Malicious Code Digest iomlan den Ògmhios agus rannsachadh co-cheangailte ris bho Sgioba Tèarainteachd Xygeni.
Seachdain 4: Còrr is 201 Pasgan air an Lorg
| Ceanglaichean taic | pasgan | Ceann-là |
|---|---|---|
| An t-Ògmhios 20, 2026 | ||
| npm | router pan:5.0.2 + 30 dreach thar raon 5.x–6.x gu 22 Ògmhios — iomairt as làidire na seachdain | OgM 20, 2026 |
| npm | trimprompt:1.0.5 + 4 dreachan — leantainn bhon t-seachdain roimhe, fhathast gnìomhach | OgM 20, 2026 |
| npm | monoclaude:1.0.1 + 2 dhreach — pearsanachadh innealan Claude API | OgM 20, 2026 |
| còd vs | prògramadh paidhir-agentic-orbit-airson-smalltalk:1.206.0 + 1 dreach — leudachadh VSCode droch-rùnach ag amas air leasachadh riochdairean | OgM 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Ainm-aithris àrd-ùrlar dachaigh snasail | OgM 20, 2026 |
| An t-Ògmhios 21, 2026 | ||
| npm | atlasora-shared:1.0.0 + 6 pacaidean — troimh-chèile eisimeileachd monorepo co-òrdanaichte: atlasora-api, -client, -sdk, -types, -utils, -config | OgM 21, 2026 |
| npm | post-amalachaidh: 4.0.2 + 6 dreachan — innealan amalachaidh iomairt a tha ag amas air mearachd litreachaidh a dh'aona ghnothach | OgM 21, 2026 |
| npm | app-lorg-llm:1.0.1 Innealan amharcachd LLM air an targaideadh | OgM 21, 2026 |
| pypi | d0rk3r-telemeatraidh: 1.0.0 Pasgan teile-mheataireachd doilleir ann am PyPI | OgM 21, 2026 |
| An t-Ògmhios 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 dreachan — iomairt leantainneach airson tuiltean dreach PyPI | OgM 22, 2026 |
| pypi | iarrtas-tasgadan-py:1.0.4 + 6 dreachan — Tuiltean dreach PyPI | OgM 22, 2026 |
| pypi | corvinos:0.17.0 + 6 dreachan — iomairt clàraidh mòr-chuid PyPI | OgM 22, 2026 |
| An t-Ògmhios 23, 2026 | ||
| npm | neach-cuideachaidh-comharran-lìn3:1.1.1 + 2 dhreach — Targaideadh goireas comharran Web3 | OgM 23, 2026 |
| npm | aon-chrois: 1.0.1 + 1 dreach — cruinneachadh ainmeachaidh mono-* còmhla ri monoclaude agus monotacos | OgM 23, 2026 |
| An t-Ògmhios 24, 2026 | ||
| npm | luchd-cuideachaidh ollama: 0.1.0 + 19 dreachan — an iomairt innealan AI as motha den mhìos, ag amas air ùine ruith AI ionadail Ollama | OgM 24, 2026 |
| npm | luchd-cuideachaidh riochdairean-openai: 0.1.1 + 22 dreach — iomairt cho-òrdanaichte ag amas air eag-shiostam SDK riochdairean OpenAI | OgM 24, 2026 |
| An t-Ògmhios 25, 2026 | ||
| npm | luchd-cuideachaidh ai-sdk: 1.4.3 Innealan SDK AI air an targaideadh còmhla ri @langgraphjs/toolkit:1.2.11 | OgM 25, 2026 |
| npm | clàraich-leabaiche: 99.99.99-poc3 + hs-locale-management — Troimh-chèile mu eisimeileachd àite-ainm a-staigh HubSpot, tha iar-leasachan poc a’ dearbhadh iomairt rannsachaidh gnìomhach | OgM 25, 2026 |
| An t-Ògmhios 26, 2026 | ||
| npm | pasgan-sreang-furasta: 1.0.1 + 8 dreachan a’ gabhail a-steach an caochladh easy-string-kit232 — clàradh mòr-chuid fo ainm coitcheann goireis | OgM 26, 2026 |
| npm | pasgan-mì-rùnach-neo-shàbhailte: 1.0.0 + 5 dreachan — pasgan air ainmeachadh gu soilleir mar dhroch-rùnach, luchd dearbhte, deuchainn no iomairt brosnachaidh coltach | OgM 26, 2026 |
| npm | @vpms/siostam-dealbhaidh:1.1.2 + 2 dhreach — dealbhaidh siostam ainm-àite pearsanachadh | OgM 26, 2026 |
Seachdain 3: Còrr is 200 Pasgan air an Lorg
| Ceanglaichean taic | pasgan | Ceann-là |
|---|---|---|
| An t-Ògmhios 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 dreach thar 1.0.x–1.2.x a’ gabhail a-steach peathraichean is bràithrean houzidawang807 agus houzidawang808 — iomairt as làidire na seachdain | OgM 13, 2026 |
| npm | taisbeanadh fàilteadair-càirdeil: 1.0.2 + 4 dreachan — iomairt leantainneach a’ nochdadh a-rithist thar grunn làithean | OgM 13, 2026 |
| npm | tsc-ai:1.2.0 cruinneachadh tsc-*: tsc-ai, tsc-mesh, tsc-lotl — pearsanachadh àite-ainm innealan CI | OgM 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 dreachan thar 4.5.x–5.1.x — iomairt PyPI ioma-latha leantainneach | OgM 13, 2026 |
| An t-Ògmhios 15, 2026 | ||
| npm | prìsean-tòcan-cron:999.0.0 + 6 pacaidean — cruinneachadh troimh-chèile eisimeileachd bun-structair DeFi ag amas air innealan cron is seilear a-staigh | OgM 15, 2026 |
| An t-Ògmhios 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pasganan — Iasad DeFi agus cruinneachadh eag-shiostam Cardano: iasadan-sruthadh, iasadan-surf, janus-*, flowcardano, flowdefi | OgM 16, 2026 |
| npm | meatrach-tachartais-q3x7:1.0.0 + 8 dreachan — pasgan iar-leasachan heicsidheach coitcheann a’ clàradh ainmean le cuspair sgrùdaidh mòr-chuid | OgM 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pacaidean — pearsanachadh ainm-àite àrd-ùrlar dàta an riaghaltais: ogd-analytics, ogd-platform, dms-backend | OgM 16, 2026 |
| An t-Ògmhios 17, 2026 | ||
| npm | cùmhnantan-cryptodao: 99.99.99 + 10 pacaidean — Mì-chinnt mu eisimeileachd CryptoDAO: cridhe, sdk, bot, rèiteachadh, goireasan, cleachdadh, soidhnichear, cùl-raon, seòrsachan | OgM 17, 2026 |
| pypi | bot-sgioba: 1.48.0 Innealan riochdaire AI air an targaideadh ann am PyPI | OgM 17, 2026 |
| An t-Ògmhios 18, 2026 | ||
| npm | meatairean-pipeline-d8k2:1.0.0 + 20 dreach thar 18 Ògmhios — iomairt leantainneach aon-latha airson seachnadh, ag ath-fhoillseachadh gu leantainneach gus mairsinn nas fhaide na liostaichean bacaidh | OgM 18, 2026 |
| npm | sganadh a-mhàin: 0.4.5 + 6 dreachan — iomairt tuiltean dreachan | OgM 18, 2026 |
| npm | dathan-innealan-dee0:1.0.0 + 5 pacaidean coitcheann le iar-leasachan heicsidheach: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — clàradh mòr-chuid sgriobta | OgM 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Ath-riochdachadh àite-ainm Azure ML | OgM 18, 2026 |
| An t-Ògmhios 19, 2026 | ||
| npm | trimprompt:1.0.2 + trimprompt-hub — innealan innleadaireachd sgiobalta air an targaideadh | OgM 19, 2026 |
| npm | cupa-claude:0.8.6 A’ dèanamh aithris air innealan API Claude | OgM 19, 2026 |
| pypi | àidseant-aiaddin:0.1.0 Innealan riochdaire AI air an targaideadh ann am PyPI | OgM 19, 2026 |
| npm | goireasan-seòlaidh-crypto-web3:0.1.0 Targaideadh goireis Web3 | OgM 19, 2026 |
Seachdain 2: Còrr is 135 Pasgan air an Lorg
| Ceanglaichean taic | pasgan | Ceann-là |
|---|---|---|
| An t-Ògmhios 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 caochlaidhean — Iomairt typosquat eag-shiostam Solana, a’ chiad tonn | OgM 7, 2026 |
| npm | @jisan901/fòcas na sgioba:1.0.0 + 2 dhreach | OgM 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Troimh-chèile eisimeileachd, dreach àrdaichte | OgM 7, 2026 |
| An t-Ògmhios 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 caochlaidhean — Iomairt typosquat eag-shiostam Solana, an dàrna tonn | OgM 8, 2026 |
| pypi | helixagentai:0.1.3 Innealan riochdaire AI air an targaideadh ann am PyPI | OgM 8, 2026 |
| An t-Ògmhios 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pacaidean — troimh-chèile eisimeileachd an aghaidh àite-ainm monorepo a-staigh | OgM 9, 2026 |
| npm | @klapp-login-àrd-ùrlar/sdk dùthchasach:99.0.0 + 9 pacaidean — aithris air àrd-ùrlar dearbhaidh thar iomadh àite-ainm klapp | OgM 9, 2026 |
| npm | neach-cuideachaidh-blockchain-0:1.0.0 + 7 pacaidean — cruinneachadh ghoireasan crypto/DeFi ag amas air luchd-leasachaidh Web3 | OgM 9, 2026 |
| npm | @cairt-pci-dàta/stòr:99.0.0 Àite-ainmean dàta cairt pàighidh air a thargaideachadh | OgM 9, 2026 |
| An t-Ògmhios 10, 2026 | ||
| npm | siostam-dealbhaidh-morningstar:99.0.0 + 2 dhreach — aithris air siostam dealbhaidh ionmhais | OgM 10, 2026 |
| An t-Ògmhios 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 dreachan air fhoillseachadh air an aon latha | OgM 11, 2026 |
| npm | @coze-common/raon-còmhraidh:99.1.1 Ainm-aithris àrd-ùrlar cabadaich AI | OgM 11, 2026 |
| pypi | teileagramlite:1.0.0 + 1 dreach — aithris air àrd-ùrlar teachdaireachdan ann am PyPI | OgM 11, 2026 |
| An t-Ògmhios 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 caochlaidhean ecto-* — cruinneachadh ainmean doilleir | OgM 12, 2026 |
| npm | internallib_v984:1.0.3 + cruinneachadh internallib_v557 — 13 dreachan de luchd-mealladh leabharlainn a-staigh | OgM 12, 2026 |
| npm | lìon-turasachd: 999.0.0 Troimh-chèile eisimeileachd, dreach àrdaichte | OgM 12, 2026 |
| pypi | cdjeez:0.32.0 | OgM 12, 2026 |
Seachdain 1: Còrr is 118 Pasgan air an Lorg
| Ceanglaichean taic | pasgan | Ceann-là |
|---|---|---|
| Mhà 30, 2026 | ||
| npm | @cloudplatform-single-spa/rianachd:99.99.100 Troimh-chèile eisimeileachd, dreach àrdaichte | Mhà 30, 2026 |
| còd vs | manaidsear-xampp:5.1.3 Leudachadh VSCode — pearsanachadh inneal leasaiche | Mhà 30, 2026 |
| An t-Ògmhios 1, 2026 | ||
| npm | @tse-digital/core:99.0.0 Troimh-chèile eisimeileachd — bhuail @telenor-se agus @ownit cuideachd | OgM 1, 2026 |
| npm | cms-stòr-ionad: 1.3.4 + 2 dhreach, cruinneachadh ainmean CMS | OgM 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 dreachan, àireamhan dreach àrdaichte ag amas air teisteanasan AWS | OgM 1, 2026 |
| npm | sgrìobhainnean euslaintich: 75.0.0 Targaid àite-ainmean cùram slàinte | OgM 1, 2026 |
| npm | @emcd-vue/ùghdarras:6.4.9 Ath-aithris air àite-ainm iomlaid crypto | OgM 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | OgM 1, 2026 |
| An t-Ògmhios 2, 2026 | ||
| npm | cugallachd: 2.5.8 + 70 dreach thar raon 2.5.x, 2–5 Ògmhios — iomairt as làidire na h-ùine | OgM 2, 2026 |
| npm | @langgraphjs/pasgan-innealan:1.2.10 Innealan LangGraph air an targaideadh | OgM 2, 2026 |
| An t-Ògmhios 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 dhreach, pearsanachadh àite-ainm Sentry | OgM 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 dhreach, mealladair leabharlainn a-staigh | OgM 4, 2026 |
| npm | luchd-cuideachaidh ai-sdk: 0.2.1 + 7 dreachan, ag amas air innealan SDK AI | OgM 4, 2026 |
Cuir stad air còd droch-rùnach mus ruig e do Pipeline
Tha bagairtean slabhraidh solair bathar-bog air a dhol seachad air teòiridh. Tha ionnsaighean troimh-chèile eisimeileachd, goid teisteanasan, malware a tha ag amas air AI, agus innealan luchd-leasachaidh puinnseanta a’ bualadh air sgiobaidhean fìor ann am fìor chùisean. SDLCs gach seachdain.
Xygeni's lorg malware agus àrd-ùrlar tèarainteachd slabhraidh solair a’ toirt sealladh do bhuidhnean gus eisimeileachdan droch-rùnach a ghlacadh mus cuir iad an gnìomh iad air inneal leasaiche, mus tèid iad a-steach do shiostam togail, no mus ruig iad cinneasachadh. Tha an còmhdach a’ dol thairis air npm, PyPI, VSCode, agus nas fhaide air falbh, a’ cumail sùil air pàtrain foillseachaidh amharasach, droch dhìol àite-ainm, typosquatting, agus innleachdan ionnsaigh dùthchasach AI mar a nochdas iad.
Thèid prìomhachas a thoirt do gach lorg gu fèin-ghluasadach a rèir comas-cleachdaidh, ruigsinneachd, agus buaidh gnìomhachais, agus mar sin bidh an sgioba agad a’ cur fòcas air na rudan a dh’ fheumas a bhith air an càradh, chan e fuaim.
Co-dhiù a tha e na phacaid stòr fosgailte droch-rùnach, inneal leasachaidh air a mhilleadh, no cunnart còd air a chruthachadh le AI, bidh Xygeni a’ cumail sgiobaidhean tèarainteachd is innleadaireachd ceum air thoiseach air cruth-tìre bagairt slabhraidh solair.
Rannsaich gach pasgan agus iomairt droch-rùnach a chaidh a dhearbhadh leis an Sgioba Tèarainteachd Xygeni anns an Geàrr-chunntas Còd Mì-rùnach.
Fuirich tèarainte. Fuirich luath. Fuirich fo smachd le Xygeni.
