Cha mhòr a h-uile seachdain, bidh na siostaman lorg malware againn a’ sganadh mìltean de phasganan ùra is ùraichte thar chlàran poblach leithid npm agus PyPI. Cha robh an t-seachdain seo na eisgeachd.
Dhearbh sinn còrr is 130 pasgan droch-rùnach eadar 7 agus 12 Ògmhios 2026, sa mhòr-chuid thar npm, le cùisean a bharrachd ann am PyPI. Nochd grunn ann an cruinneachaidhean co-òrdanaichte, fiosan droch-rùnach a chaidh fhoillseachadh fo na h-ainmean ceudna no thar theaghlaichean pasgan dlùth-cheangailte.
B’ e a’ chùis a b’ fheàrr an t-seachdain seo sensivity, a thug npm làn le còrr is 40 brathan dreachdaichte thar raon 2.5.x, air an dearbhadh thar grunn làithean. Am measg chruinneachaidhean ainmeil eile bha tonn de @solana-labs typosquats ag amas air eag-shiostam Solana (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — thar dà iomairt foillseachaidh eadar-dhealaichte air 7 Ògmhios agus 8 Ògmhios), an @nstrlabs teaghlach (sdk, ixel, utils, shared-components, api-client, auth — ionnsaigh troimh-chèile eisimeileachd an aghaidh àite-ainm pacaid a-staigh), an @klapp-login-platform buidheann (native-sdk, oidc, routes — a’ dèanamh aithris air àrd-ùrlar dearbhaidh), internallib_v557 agus internallib_v984 (iomadh dreach de luchd-mealladh leabharlainn a-staigh air an doilleireachadh), pocteszep (6 dreachan air fhoillseachadh air 11 Ògmhios), agus cruinneachadh de ghoireasan crypto agus Web3 a’ gabhail a-steach blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, agus farming-tools-12. Tha morningstar-design-system nochd am pasgan ann an trì dreachan air 10 Ògmhios, a’ dèanamh atharrais air siostam dealbhaidh ionmhais ainmeil. Ann am PyPI, helixagentai, telegramlite, agus cdjeez chaidh an dearbhadh tron t-seachdain.
Cha robh iad sin nan ana-cainnt iomallach. B’ e an rud a sheas a-mach an t-seachdain seo dùmhlachd ionnsaighean troimh-chèile eisimeileachd an aghaidh àiteachan-ainm pacaid a-staigh, foillseachadh leantainneach ioma-latha an sensivity cruinneachadh, agus an targaideadh leantainneach air innealan Web3 agus Solana, pàtran a tha air luathachadh gu mòr ann an 2026.
Tha an geàrr-chunntas seachdaineil seo mar phàirt den geàrr-chunntas còd droch-rùnach againn, far am bi sinn a’ dearbhadh bagairtean ùra agus a’ toirt seachad fiosrachadh obrachail gus sgiobaidhean DevSecOps a chuideachadh gus an cuid… pipelines mus tachair milleadh.
Feuchaidh sinn ri mìneachadh dè a lorg sinn an t-seachdain seo agus carson a tha e cudromach.
Na leig le pacaidean droch-rùnach ruighinn air cinneasachadh
Tha na pacaidean air a bheil na sgiobaidhean agad an urra gan cleachdadh barrachd is barrachd mar phuing inntrigidh. Lorgaidh Tràth Malware Xygeni a’ cumail sùil air clàran ann an àm fìor, agus mar sin bidh bagairtean mar an fheadhainn ann an geàrr-chunntas na seachdain seo air am bacadh mus ruig iad na togail agad a-riamh.
Tha co-dhùnaidhean na seachdain seo na chuimhneachan gu bheil na innleachdan a’ fàs nas rùnaiche. Chan eil tuiltean dreachan, pearsanachadh àite-ainm, agus iomairtean co-òrdanaichte ioma-latha nan cùisean air oir a’ chùis tuilleadh, tha iad standard leabhar-cluiche an ionnsaigh. Chan urrainn do sganaidhean aon-ùine agus sgrùdaidhean làimhe cumail suas ri iomairtean a bhios a’ foillseachadh dusanan de dhreachan thar iomadh latha agus clàran aig an aon àm.
Xygeni's Open Source Security Bheir am fuasgladh seo faicsinneachd leantainneach do na sgiobaidhean DevSecOps agad thar npm, PyPI, agus nas fhaide air falbh, a’ lorg phasganan cronail aig àm an fhoillseachaidh, a’ toirt prìomhachas do na tha a’ cur fìor chunnart air a bheil feum brath a ghabhail, agus a’ giorrachadh na slighe bho lorg gu leigheas. Mar sin faodaidh na sgiobaidhean agad lìbhrigeadh gu sgiobalta gun a bhith a’ dèanamh cron air tèarainteachd.
