TL, DR
Tsy tranga miseho tampoka ireo fonosana npm ratsy fanahy. Famoahana mitohy izy ireo, ary havaozina isan-kerinandro ny lisitry ny tranga voamarina. Nandritra ny fanontana fito nifanesy tamin'ny Malicious Code Digest, izay efa nihoatra ny faha-87, dia nanamafy i Xygeni Fonosana mampidi-doza 635, avy amin'ny 13 ao anatin'ny herinandro mangina ho 206 ao anatin'ny herinandro be atao. Ny elanelana isan-kerinandro no zava-dehibe: ritmo ity, fa tsy tranga.
- Ny cadence no olana. Nisy fonosana iray niova avy amin'ny aotra ka nahatratra mihoatra ny 55 tao anatin'ny herinandro. Ny vondrona iray hafa kosa namoaka anarana fonosana efa ho 30 tao anatin'ny adiny telo latsaka. Tsy mety ny fanaraha-maso isan-kerinandro.
- Tsy tonga amin'ny endrika CVE izy ireo. Tsy lesoka amin'ny kaody ara-dalàna ny fonosana mampidi-doza, ka tsy misy torohevitra, tsy misy isa ary mazàna tsy misy famantarana mihitsy. Tsy mahita izany ny programa iray tarihin'ny fahalemena.
- Tsy fiarovana ny fanesorana. Matetika dia miasa mandritra ny minitra vitsy ka hatramin'ny ora maro ireo fonosana. Na nitranga tao anatin'io varavarankely io ny fametrahanao na tsia.
- Ny fahitana dia tsy maintsy atao amin'ny famoahana, ary ny fampiharana dia amin'ny fametrahana. Izay rehetra miandry sonia, CVE na scan isan-kerinandro dia tonga aorian'ny fananganana izay nisintona azy.
Misy ny lisitra. Tsy mitovy amin'ny hoe jerena izany
Tsy misy zava-miafina momba ireo fonosana npm maloto. Avoaka, omena anarana ary voarakitra an-tsoratra isan-kerinandro ireo tranga voamarina, anisan'izany ny ao amin'ny Famintinana ny kaody ratsy an'i Xygeni, efa mihoatra ny fanontana fahavalo amby fitopolo izy izao.
Tsy ny fampahalalana no banga fa ny fifantohana sy ny firindrana. Ny lisitra havaozina isan-kerinandro, vakiana isam-bolana, ary ampiharina isaky ny telovolana dia lisitra izay mirakitra an-tsoratra izay efa nitranga tamin'olona iray.
Toy izao ny endriky ny fito herinandro, nalaina avy amin'ny zavatra voamarinay manokana fa tsy avy amin'ny fanadihadiana nataon'ny mpivarotra.
Tsy ny fitambaran'ny isa no zava-dehibe, fa ny hafainganam-pandeha isan-kerinandro.
Ny hafainganam-pandeha no fanafihana manontolo
Zavatra telo hita tamin'ireo herinandro ireo, ary samy hafa ny fomba nandresena azy ireo.
- Tondraka ny dikan-teny. Fonosana npm tokana,
zevairouter, nahatratra mihoatra ny 55 ny dikan-teny voamarina tao anatin'ny herinandro iray, niaraka tamin'ny folo hafa avy amin'ny fonosana mpiara-miasa. Ao amin'ny PyPI,bingo-aiNamokatra dikan-teny efa ho 80 tao anatin'ny 30 minitra eo ho eo. Tsy misy dingana famerenana tanana miasa amin'izany hafainganam-pandeha izany, ary toy izany koa ny asa isan'alina. - Vondrona mifanitsy. Fonosana fito ambin'ny folo maka tahaka ny anaran'ny serivisy PayPal anatiny no navoaka tao anatin'ireo minitra vitsy ireo ihany, tamin'ny version 28.0.0 avokoa. Tsy volume izany, fa hazakazaka: misy laharan'ny version mihoa-pampana mba hihoatra ny package anatiny nosoratan'ny ekipanao. Nipoitra indray io tetika io herinandro vitsivitsy taty aoriana.
@umschool/platformnavoaka tao amin'ny 999.0.0. - Faharetana mandritra ny fanesorana. Efa herinandro maromaro izay no nisian'ny fampielezan-kevitra momba ny fisandohana anarana ao amin'ny Baileys. Mifandimby ny anarana, mitombo ny dikan-teny, ary mitohy ny famoahana azy rehefa tratra. Ny mpandraharaha izay mihevitra ny fanesorana ho toy ny vidin'ny fanaovana raharaham-barotra fa tsy antony hijanonana dia mpandraharaha izay tsy hahatratra ny fandrefesanao isaky ny telovolana mihitsy.
Ary fohy ny fotoana ijanonana araka ny nikasana azy. Tao amin'ny vondrona iray vao haingana, dia velona teo anelanelan'ny 17 minitra sy 13 ora ireo fonosana talohan'ny nanesorana azy.
Azafady mba jereo ho toy ny varavarankely fampisehoana izany fa tsy toy ny fandrefesana ny fahombiazan'ny rejisitra. Raha nisy fanamboarana niasa nandritra izany, dia tsy nanova na inona na inona ny fanesorana.
Nahoana ny fandaharan'asa momba ny fahalemena anananao no tsy mahita izany
Ity no lafiny ara-drafitra, ary io no iray amin'ireo tsy mbola takatry ny ankamaroan'ny ekipa mpiambina.
Ny fahalemena dia lesoka amin'ny kaody nosoratan'olona tamim-pinoana tsara. Ny fonosana mampidi-doza dia zavatra niniana navoaka nataon'ny mpanafika, matetika tsy misy famantarana, tsy misy torohevitra, ary fe-potoana maharitra refesina amin'ny ora. Ny dingana rehetra natsangana manodidina ny fidirana CVE, ny fanombanana ny hamafin'ny olana ary ny varavarankely patch dia natao ho an'ny zavatra voalohany ary ampiharina amin'ny faharoa amin'ny alàlan'ny default.
Tsy fahadisoana ny tsy fisian'ny famantarana ao amin'ny rafitra CVE. Izany dia ny sokajy miasa araka ny tokony ho izy: tsy misy olona mametraka fampitandremana manohitra zavatra iray izay natao ratsy avokoa ny tanjony, ary amin'ny fotoana ahafahan'ny olona manao izany dia efa lasa ilay fonosana. Izany hoe ny fanontaniana hoe "manana CVE ve ity?" dia mamerina valiny mitovy ho an'ny fonosana madio sy ho an'ny mpangalatra fahazoan-dàlana navoaka adiny iray lasa izay.
Ny tena asan'ny entana ankehitriny
Ny sary tsotra fotsiny amin'ireo fonosana npm ratsy dia mpitrandraka crypto. Ny zava-misy ankehitriny dia ny halatra fahazoan-dàlana mikendry ireo mpamorona rindrambaiko, ary miha-mitombo hatrany ny fahazoan-dàlana AI amin'ny milina ampiasainy.
The PhantomSync cluster, fonosana npm valo navoaka tao ambanin'ny kaonty iray, dia niasa araka ny nambara mialoha sady nanafina dropper miantso tena izay nitifitra 37 segondra teo ho eo taorian'ny nanafarana, namaky ny payload namboarina ho toy ny fitaovana fitsapana sandoka, nametraka persistence cross-platform, ary nanomboka poketra sy mpangalatra tsiambaratelo. Delay, defy, persist, exfiltrate.
Amin'ny ambaratonga lehibe kokoa, ny onja CHAINDROP an'ny Kankana Shai-Hulud Nahatratra fonosana mihoatra ny 400 sy dikan-teny 1,700 tamin'ny fiandohan'ny volana Aogositra 2026, miaraka amin'ny fampidinana isam-bolana miisa 1.3 lavitrisa. Nijery lamina fanamarinana mihoatra ny 300 ny mpanangona azy, anisan'izany ny fanalahidy OpenAI, Anthropic ary Cursor. Lasa sarobidy ny milina mpamorona rindrambaiko talohan'nycisnoho ireo mari-pahaizana modely eo amin'izy ireo.
Nanaraka ny vola ny fomba fanomezana anarana. Ireo vondrona vao haingana dia maka tahaka ny crypto sy DeFi SDK, môdely fandoavam-bola, tranomboky WhatsApp API, fitaovana AWS ary, amin'ny tranga iray, fonosana iray voasokajy ampahibemaso amin'ny anaran'ny fitaovana mpanafika dark-LLM.
Inona no tena mampijanona ireo fonosana npm ratsy fanahy?
Fanaraha-maso efatra, araka ny filaharany amin'ny vokany.
1. Hita tamin'ny famoahana azy, fa tsy tamin'ny famoahana azy. Fampitandremana mialoha momba ny malware an'ny Xygeni Mamakafaka ireo fonosana vao navoaka manerana ny npm, PyPI, Maven, ary ireo rejisitra hafa amin'ny fotoana isehoany, mampiasa fanadihadiana momba ny fitondran-tena sy ny tsy fetezana fa tsy miandry sonia na tatitra. Izany no hany teboka ao amin'ny fe-potoana mialoha ny fanangananao.
2. Fampiharana ny lalàna eo amin'ny toerana hanaovana ny fametrahana. Ny fahitana dia milaza aminao fa misy fonosana ratsy. Ny politika manakana ny fametrahana no manakana ny script aorian'ny fametrahana tsy hiasa. Zava-dehibe kokoa izany ankehitriny satria mametraka dependencies ny agents nefa tsy misy olombelona misafidy azy ireo.
3. Rakitra hidiana sy fametahana hash. Use npm ci ao amin'ny CI fa tsy npm install, ka ny hazo fiankinan-doha marina ao amin'ny lockfile no amboarina. Manakatona ny lalan'ny fanoloana izay ianteheran'ny typosquats sy ny dikan-teny inflated izy io.
4. Zavatra hita tao amin'ny toerana iray. Ireo malware hita dia tokony ho ao anatin'ny filaharana laharam-pahamehana mitovy amin'ny anao SCA ary ny zavatra hita tamin'ny kaody, fa tsy ao anaty feed misaraka izay misy olona mijery. Ny fiankinan-doha amin'ny malware voamarina dia tokony hihoatra ny CVE antonony ny hamafiny, ary ny modely risika iraisana ihany no ahafahana manao izany fampitahana izany.
Jereo ny lisitra, na ataovy mandeha ho azy izany
Tsy misy olona sahy mamaky ny lisitry ny rejisitra isan-kerinandro. Izany no antony hanaovana azy ho mandeha ho azy.
Mamakafaka ireo fonosana vao navoaka manerana ny npm sy ireo rejisitra hafa ny Xygeni amin'ny fotoana famoahana azy, manamarika ireo malware voamarina alohan'ny hahatongavany amin'ny fananganana, ary mametraka ny zavatra hita ao amin'ny filaharana laharam-pahamehana mitovy amin'ny zavatra hafa rehetra efa iasan'ny ekipanao. Famantarana ny malware dia tafiditra ao anatin'ny drafitra maimaim-poana ho an'ny Mpamorona, izay tsy marina amin'ny ankamaroan'ny ambaratonga maimaim-poana amin'ity sokajy ity.
Manomboka maimaim-poana, na mamaky Famintinana ny Kaody Maloto amin'ity herinandro ity voalohany.
FAQ
Inona avy ireo fonosana npm maloto?
Fonosana navoaka tao amin'ny rejisitra npm izay natao niniana natao hanimba: mpangalatra fahazoan-dàlana sy poketra, backdoors, droppers, ary artifacts mampisafotofoto izay maka tahaka ny anaran'ny fonosana anatiny na malaza.
Ahoana no fahitan'ny fonosana npm maloto?
Mitohy hatrany. Nandritra ny fanontana fito vao haingana tamin'ny Malicious Code Digest, Xygeni dia nanamafy fonosana manimba miisa 635, manomboka amin'ny am-polony eo ho eo ao anatin'ny herinandro mangina ka hatramin'ny 200 mahery mandritra ny fampielezan-kevitra mavitrika. Ny npm no ankamaroany.
Hafiriana no mbola misy ireo fonosana npm maloto?
Matetika minitra vitsy ka hatramin'ny ora maro. Io fe-potoana io no zava-dehibe, satria efa misy fiantraikany amin'ny fananganana ao anatiny na haingana toy inona aza ny fanesorana ny fonosana aorian'izay.
Mahazo CVE ve ireo fonosana npm ratsy fanahy?
Matetika tsia. Zavatra navoakan'ny mpanafika izy ireo fa tsy lesoka amin'ny kaody ara-dalàna, ary ny fampielezan-kevitra 2026 notarihina dia tsy nahazo fanendrena CVE nandritra ny fanararaotana mavitrika.
Ahoana no ahafahako manamarina raha misy malware ny fonosana iray alohan'ny hametrahana azy?
Mampiasà fitaovana izay mamakafaka fonosana amin'ny famoahana fa tsy ilay manamarina lisitra fantatra fa ratsy, manamarina ny tantaran'ny mpamoaka sy ny dikan-teny, miahiahy amin'ny isa dikan-teny avo lenta tsy mahazatra sy kaonty vaovao, ary mampihatra politika amin'ny fotoana fametrahana fa tsy miantehitra amin'ny famerenana.
Inona no atao hoe fisafotofotoana momba ny fiankinan-doha?
Mamoaka fonosana ho an'ny daholobe mitovy anarana amin'ny fonosana anatiny, matetika amin'ny dikan-teny mivelatra kokoa, mba tian'ny resolver kokoa ny kopian'ny mpanafika. Ny cluster PayPal-name amin'ny dikan-teny 28.0.0 dia ohatra amin'ny boky fianarana.
