ស្ទើរតែរៀងរាល់សប្តាហ៍ប្រព័ន្ធរកឃើញមេរោគរបស់យើងស្កេនកញ្ចប់រាប់ពាន់ថ្មី និងកញ្ចប់ដែលបានធ្វើបច្ចុប្បន្នភាពនៅទូទាំងបញ្ជីឈ្មោះសាធារណៈដូចជា npm និង PyPI។ សប្តាហ៍នេះក៏មិនមានករណីលើកលែងដែរ។
យើងបានបញ្ជាក់កញ្ចប់ព្យាបាទជាង 130 ចន្លោះពីថ្ងៃទី 7 ខែមិថុនា ដល់ថ្ងៃទី 12 ខែមិថុនា ឆ្នាំ 2026 ដែលភាគច្រើននៅទូទាំង npm ដោយមានករណីបន្ថែមនៅក្នុង PyPI។ ជាច្រើនបានលេចឡើងក្នុងចង្កោមសម្របសម្រួល ការចេញផ្សាយព្យាបាទម្តងហើយម្តងទៀតដែលបានបោះពុម្ពផ្សាយក្រោមឈ្មោះដូចគ្នា ឬនៅទូទាំងក្រុមគ្រួសារកញ្ចប់ដែលពាក់ព័ន្ធយ៉ាងជិតស្និទ្ធ។
ករណីដ៏លេចធ្លោមួយក្នុងសប្តាហ៍នេះគឺ sensivityដែលបានជន់លិច npm ជាមួយនឹងការចេញផ្សាយកំណែជាង 40 នៅទូទាំងជួរ 2.5.x ដែលបានបញ្ជាក់ក្នុងរយៈពេលច្រើនថ្ងៃ។ ចង្កោមគួរឱ្យកត់សម្គាល់ផ្សេងទៀតរួមមានរលកនៃ @solana-labs typosquats ដែលកំណត់គោលដៅប្រព័ន្ធអេកូឡូស៊ី Solana (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — នៅទូទាំងយុទ្ធនាការបោះពុម្ពផ្សាយពីរដាច់ដោយឡែកពីគ្នានៅថ្ងៃទី 7 និងទី 8 ខែមិថុនា) @nstrlabs ក្រុមគ្រួសារ (sdk, ixel, utils, shared-components, api-client, auth — ការវាយប្រហារច្រឡំ dependency ប្រឆាំងនឹងឈ្មោះកញ្ចប់ខាងក្នុង) @klapp-login-platform ក្រុម (native-sdk, oidc, routes — ក្លែងបន្លំជាវេទិកាផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ), internallib_v557 និង internallib_v984 (កំណែច្រើននៃកម្មវិធីក្លែងបន្លំបណ្ណាល័យផ្ទៃក្នុងដែលមិនច្បាស់លាស់) pocteszep (កំណែចំនួន ៦ បានចេញផ្សាយនៅថ្ងៃទី ១១ ខែមិថុនា) និងចង្កោមនៃឧបករណ៍ប្រើប្រាស់គ្រីបតូ និង Web3 រួមទាំង blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87និង farming-tools-12។ នេះ morningstar-design-system កញ្ចប់នេះបានបង្ហាញខ្លួនជាបីកំណែនៅថ្ងៃទី 10 ខែមិថុនា ដោយក្លែងបន្លំជាប្រព័ន្ធរចនាហិរញ្ញវត្ថុដ៏ល្បីមួយ។ នៅក្នុង PyPI, helixagentai, telegramliteនិង cdjeez ត្រូវបានបញ្ជាក់ពេញមួយសប្តាហ៍។
ទាំងនេះមិនមែនជាភាពមិនប្រក្រតីដាច់ដោយឡែកនោះទេ។ អ្វីដែលលេចធ្លោនៅសប្តាហ៍នេះគឺការផ្តោតអារម្មណ៍នៃការវាយប្រហារដោយការភាន់ច្រឡំប្រឆាំងនឹងឈ្មោះកញ្ចប់ខាងក្នុង ការបោះពុម្ពផ្សាយច្រើនថ្ងៃជាប់លាប់នៃ sensivity ចង្កោម និងការបន្តកំណត់គោលដៅនៃឧបករណ៍ Web3 និង Solana ដែលជាគំរូមួយដែលបានបង្កើនល្បឿនគួរឱ្យកត់សម្គាល់នៅក្នុងឆ្នាំ 2026។
រូបភាពសង្ខេបប្រចាំសប្តាហ៍នេះគឺជាផ្នែកមួយនៃ Malicious Code Digest របស់យើង ដែលយើងផ្ទៀងផ្ទាត់ការគំរាមកំហែងថ្មីៗ និងផ្តល់នូវព័ត៌មានស៊ើបការណ៍សម្ងាត់ដែលអាចអនុវត្តបាន ដើម្បីជួយក្រុម DevSecOps ការពារ... pipelines មុនពេលការខូចខាតកើតឡើង។
ចូរយើងវិភាគអ្វីដែលយើងបានរកឃើញនៅសប្តាហ៍នេះ និងមូលហេតុដែលវាសំខាន់។
កុំឲ្យកញ្ចប់ព្យាបាទឈានដល់ការផលិត
កញ្ចប់ដែលក្រុមរបស់អ្នកពឹងផ្អែកកំពុងត្រូវបានប្រើប្រាស់កាន់តែខ្លាំងឡើងជាចំណុចចូល។ ការរកឃើញមេរោគ Xygeni ដំបូង ត្រួតពិនិត្យការចុះឈ្មោះក្នុងពេលវេលាជាក់ស្តែង ដូច្នេះការគំរាមកំហែងដូចជាការគំរាមកំហែងនៅក្នុងសេចក្តីសង្ខេបសប្តាហ៍នេះត្រូវបានរារាំងមុនពេលដែលពួកវាទៅដល់ការបង្កើតរបស់អ្នក។
ការរកឃើញនៅសប្តាហ៍នេះគឺជាការរំលឹកមួយថាយុទ្ធសាស្ត្រទាំងនេះកំពុងតែកាន់តែមានចេតនា។ ការជន់លិចកំណែ ការក្លែងបន្លំឈ្មោះលំហ និងយុទ្ធនាការសម្របសម្រួលច្រើនថ្ងៃលែងជាករណីគែមទៀតហើយ ពួកគេ... standard សៀវភៅណែនាំអ្នកវាយប្រហារ។ ការស្កេនម្តង និងការត្រួតពិនិត្យដោយដៃមិនអាចតាមទាន់យុទ្ធនាការដែលបោះពុម្ពផ្សាយកំណែរាប់សិបនៅទូទាំងថ្ងៃ និងការចុះឈ្មោះច្រើនក្នុងពេលដំណាលគ្នាបានទេ។
ស៊ីហ្គេនី Open Source Security ដំណោះស្រាយផ្តល់ឱ្យក្រុម DevSecOps របស់អ្នកនូវភាពមើលឃើញជាបន្តបន្ទាប់នៅទូទាំង npm, PyPI និងលើសពីនេះ ដោយរកឃើញកញ្ចប់ដែលបង្កគ្រោះថ្នាក់នៅពេលបោះពុម្ពផ្សាយ ផ្តល់អាទិភាពដល់អ្វីដែលបង្កហានិភ័យដែលអាចកេងប្រវ័ញ្ចបានពិតប្រាកដ និងធ្វើឱ្យផ្លូវខ្លីពីការរកឃើញទៅការជួសជុល។ ដូច្នេះក្រុមរបស់អ្នកអាចដឹកជញ្ជូនបានលឿនដោយមិនធ្វើឱ្យប៉ះពាល់ដល់សុវត្ថិភាព។
