Come ogni settimana, i nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati presenti nei registri pubblici. Abbiamo confermato 10 versioni di pacchetti dannosi tra il 18 e il 21 ottobre, 2026: 3 su npm e 7 su PyPI. Xygeni ne ha confermati 9.
pyyi continua a tornarepyyi, già visto la settimana scorsa, sono state spedite altre sei versioni, da 2.5.0 a 2.5.5Cinque di loro sono stati confermati il 21 ottobre in 22 minuti.
Baileys e versioni gonfiate, ancora una volta
Il modello Baileys continuò con @kimmcloude/baileys il 18 ottobre e memories-core-web è apparso il 20 ottobre a un prezzo gonfiato 99.0.0.
Anche confermatorootaccessxvv-bbmarker su npm e leakdeep su PyPI, quest'ultimo confermato dal registro.
Questa istantanea settimanale fa parte del nostro continuo Digest del codice dannoso, dove convalidiamo nuove minacce per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.
L'elenco completo: 10 versioni di pacchetti dannosi confermate
| Ecosistema | CONFEZIONE | Data |
|---|---|---|
| npm | rootaccessxvv-bbmarker:1.0.2 | Ottobre 18, 2026 |
| npm | @kimmcloude/baileys:1.0.0 | Ottobre 18, 2026 |
| pypi | leakdeep:3.0.0 | Ottobre 19, 2026 |
| pypi | pyyi:2.5.0 | Ottobre 19, 2026 |
| npm | memories-core-web:99.0.0 | Ottobre 20, 2026 |
| pypi | pyyi:2.5.1 | Ottobre 21, 2026 |
| pypi | pyyi:2.5.2 | Ottobre 21, 2026 |
| pypi | pyyi:2.5.3 | Ottobre 21, 2026 |
| pypi | pyyi:2.5.4 | Ottobre 21, 2026 |
| pypi | pyyi:2.5.5 | Ottobre 21, 2026 |
Un pacchetto, sei nuove versioni: 10 versioni di pacchetti dannosi questa settimana
Meno versioni rispetto alla settimana scorsa, ma gli schemi sono gli stessi. PyPI sono tornate con sei nuove versioni, cinque delle quali in 22 minuti, quindi bloccare una singola versione non ferma il pacchetto. Sono ricomparsi anche il nome Baileys e i numeri di versione gonfiati. Delle 10 versioni, Xygeni ne ha confermate 9.
Avviso di prevenzione contro il malware Xygeni monitora npm, PyPI, Maven, Composer, OpenVSX e altri registri in tempo reale, segnalando le minacce alla pubblicazione, prima che raggiungano una build. Xygeni's Open Source Security La piattaforma aggiunge la funzionalità di prioritizzazione di cui i team DevSecOps hanno bisogno per intervenire prima su ciò che conta davvero.
