Valiny haingana: Miasa amin'ny alàlan'ny fanimbana kaonty mpitazona azo itokisana na ny fanafihana rojo famatsiana Npm ny CI/CD token, mamoaka dikan-teny ratsy amin'ny fonosana efa atokisan'ny mpamorona, ary mamela ny script fametrahana na ny lojika kankana an'io fonosana io hanao ny ambiny. Teo anelanelan'ny Aogositra 2025 sy ny tapaky ny taona 2026, ity lamina ity no niteraka ny onjam-panafihana rojo famatsiana fonosana npm lehibe indrindra teo amin'ny tantaran'ny rejisitra, anisan'izany ny fisamborana chalk/debug, ny Kankana Shai-Hulud, ary ny malware-n'ny firenena miafina ao anaty fonosana alaina in-100 tapitrisa isan-kerinandro. Ny vahaolana dia tsy ny fijerena kaody rehefa tonga izy. Misambotra ireo fonosana ratsy fanahy izy io alohan'ny hametrahana azy ireo ary mijery ny pipeline ho an'ny fihetsika marina iraisan'ireto fanafihana ireto.
Fitokisana avokoa ny fametrahana rehetra, ary fantatry ny mpanafika izany
Miasa ny mpamorona npm installAo ambadiky io baiko iray io dia misy hazo fiankinan-doha misy fonosana an-jatony, indraindray an'arivony, izay ny ankamaroany dia nosoratana sy nokarakarain'ny olona izay tsy ho hitan'ny mpamorona mihitsy. Tsy misy olona mandinika io hazo io andalana tsirairay. Tsy misy manam-potoana hanaovana izany.
Izany fahatokisana izany no lasibatra. Mora kokoa ho an'ny mpanafika ny mampiasa phishing ho an'ny mpikojakoja npm iray manana fisintomana 2.6 lavitrisa isan-kerinandro toy izay mahita zero-day ao amin'ny rindranasa fiarovana Fortune 500. Manararaotra io tsy fitoviana io ny fanafihana amin'ny rojo famatsiana Npm, ary ny onja 2025-2026 dia mampiseho ny halehiben'io fanararaotana io: manomboka amin'ny fandikana diso mitokana ho lasa kankana miparitaka ho azy izay mamoaka ny fonosany manimba haingana kokoa noho izay azon'ny olombelona atao.
Inona no heverina ho fanafihana rojo famatsiana npm
Ny fanafihana amin'ny rojo famatsiana npm dia tranga rehetra izay ampidiran'ny mpanafika kaody maloto ao amin'ny fizarana npm. pipeline fa tsy ao anatin'ny kaody fototra an'ny lasibatra, ka tonga mody miseho ho fanavaozana fiankinan-doha mahazatra ny malware. Matetika ny teboka fidirana dia iray amin'ireto zavatra telo ireto: ny fahazoan-dàlana nangalarin'ny mpikarakara, ny famoahana nangalarina na CI/CD token, na fananganana voajirika pipeline izay voafitaka hamoaka ho an'ny mpanafika. Satria misintona ho azy ny fiankinan-doha transitive ny fonosana npm, ny fonosana iray voajirika dia afaka mahatratra ireo fampiharana izay tsy nanambara azy ho fiankinan-doha mivantana mihitsy.
Fe-potoana: ireo fanafihana lehibe indrindra amin'ny rojo famatsiana npm tamin'ny taona 2025-2026
Ny lamina ao ambadiky ny fanafihana rojo famatsiana fonosana npm rehetra
Esory ireo antsipiriany rehetra, dia saika ny tranga rehetra etsy ambony dia manaraka dingana efatra mitovy:
- Mampandefery ny maha-izy azy, fa tsy ny rafitra. Mpikarakara phished, npm token tafaporitsaka, GitHub PAT nangalarina, na OIDC token nalaina avy amin'ny CI/CD fahatsiarovana mpihazakazaka. Tsy manimba ny rejisitra ny mpanafika. Mindrana ny lakilen'olona izy ireo.
- Avoahy amin'ny anarana izay efa atokisan'ny mpamorona. Tsy ilaina ny fanitsiana diso rehefa miasa ny anaran'ny fonosana tena izy. Izany no mahatonga ireo fanafihana ireo ho mahomby amin'ny fanavaozana mandeha ho azy. pipelines: toa ara-dalàna tanteraka ilay fanavaozana.
- Alefaso alohan'ny hisy handinika azy. Ireo script fametrahana ratsy, ireo payloads voasakana, na ireo code sleeper izay miasa amin'ny fepetra manokana ihany no manatanteraka ny fotoana npm install miasa, matetika amin'ny solosaina findain'ny mpamorona rindrambaiko, ela be talohan'ny nahitana azy tamin'ny alàlan'ny fizahana fiarovana voalahatra.
- Mahareta ary, miha-miely hatrany. Mampiasa ny fahazoan-dàlana nangalarin'izy ireo i Shai-Hulud sy ny taranany mba hamoahana ho azy ny fonosana voapoizina manaraka, ka mamadika ny fifanarahana tokana ho fihetsika mitohy manerana ny grafika fiankinan-doha.
Nahoana no tsy mahomby ireo fiarovana mahazatra
Ny ankamaroan'ny fitaovana AppSec dia namboarina mba handinihana izay efa ao amin'ny tahiry: CVE fantatra, lamina kaody statika, olana amin'ny fahazoan-dàlana. Ilaina izany, saingy tara loatra ny fahatongavany ara-drafitra ho an'ity kilasy fanafihana ity. Amin'ny fotoana ahitan'ny scanner fiankinan-doha, dia mety ho efa niasa tamin'ny milina mpamorona ny script fametrahana. Ny antivirus nentim-paharazana sy ny EDR dia mijery ny rafitra fiasana, fa tsy ny rejisitra fonosana, ka tsy manana hevitra momba ny "famoahana npm vaovao" ho toy ny singa iray amin'ny risika izy ireo. Ary araka ny asehon'ny tranga TanStack sy Red Hat, na dia ny fanamarinana ny integrity amin'ny fananganana toy ny SLSA provenance Aza manampy rehefa azon'ny mpanafika ara-dalàna ny maha-izy azy izay nanao sonia azy: manan-kery ny sonia, mbola ratsy ihany ny fonosana.
Ny elanelana ampiasain'ireto fanafihana amin'ny rojo famatsiana npm ireto dia eo amin'ny fotoana famoahana sy fametrahana azy, alohan'ny hisian'ny sonia ho an'ny malware ary alohan'ny hiasan'ny fonosana na aiza na aiza toerana tadiavin'ny scanner nentim-paharazana.
Ahoana no hampijanonana ny fanafihana rojo famatsiana npm manaraka
Ny sasany amin'ireto dia fitsipi-pifehezana ara-drafitra azon'ny ekipa injeniera rehetra ampiharina ankehitriny:
- Fiankinan-doha amin'ny Pin sy commit rakitra hidin-trano, noho izany dia tsy afaka misintona mangina dikan-teny ratsy vao navoaka ny fanavaozana mandeha ho azy.
- Atsaharo na sandbox ny script postinstall amin'ny alàlan'ny default; ny ankamaroan'ny fonosana dia tsy mila manatanteraka kaody tsy misy dikany amin'ny fotoana fametrahana.
- Ampiharo ny MFA tohanan'ny fitaovana ho an'ny kaonty famoahana npm, manidy ny lalan'ny phishing izay nanimba ny kaontin'i chalk, debug, ary Qix.
- Faritra ary fihodinana CI/CD marika mahery vaika, ary mihevitra ny tokens OIDC ao amin'ny fahatsiarovana ny runner ho toy ny fahazoan-dàlana mendrika harovana, fa tsy antsipirian'ny fampiharana.
- Jereo ny lamina "unlock-inject-relock" in CI/CD: tsy mandeha ny fitsipika fiarovana sampana, a commit natosika, naverina nalefa indray ny fitsipika, tao anatin'ny varavarankely tery. Sonia miverimberina an'ny pipelinefifandonana eo amin'ny sehatry ny rojo famatsiana.
Aiza no tsy misy ny fitsipi-pifehezana amin'ny fizotran'ny asa
Mampihena ny fihanaky ny viriosy ny fitsipi-pifehezana ny fizotran'ny asa. Tsy mahatratra fonosana manimba izy raha vao avoaka, ary tsy mahatratra kankana izay efa miparitaka haingana kokoa noho ny vitan'ny olombelona amin'ny alalan'ny grafika. Izany no sosona nanamboarana ny Fiarovana ny Rojo Famatsiana an'ny Xygeni.
Xygeni's MEW (Fampitandremana mialoha momba ny rindrambaiko maloto) mamakafaka tsy tapaka ireo fonosana vaovao navoaka tao amin'ny npm, PyPI, ary Maven, misambotra ireo malware alohan'ny hisian'ny sonia fa tsy aorian'izay, ary mamerina ireo fandrahonana voamarina ao amin'ny Xygeni's motera famantarana manokana. Ny Rindrin'ny Fiankinan-doha Mijery ny npm, PyPI, Maven, NuGet, ary RubyGems amin'ny fotoana tena izy ary manakana ireo fametrahana mampidi-doza alohan'ny hahatongavany amin'ny milina na ny fananganana an'ny mpamorona. CI/CD fahitana anomaly famantaranandro pipelines ho an'ny lamina fitondran-tena ao ambadiky ny tranga toy ny fifanarahana TanStack, anisan'izany ny filaharan'ny unlock-inject-relock, miaraka amin'ny fanaraha-maso feno. Ary satria ny an'i Xygeni Triage sy fanarenana ampiasain'ny AI azo ampiharina amin'ny zavatra hita avy amin'ny scanner avy amin'ny antoko fahatelo koa, tsy voatery mandrovitra ireo fitaovana efa misy ny ekipa mba hanakatonana io banga io.
Fanontaniana matetika apetraka: fanafihana amin'ny rojo famatsiana npm
Inona no atao hoe fanafihana rojo famatsiana npm?
Fanafihana izay ahatongavan'ny kaody ratsy fanahy amin'ny fampiharana kendrena amin'ny alàlan'ny fiankinan-doha npm azo itokisana fa tsy amin'ny alàlan'ny kaody manokan'ny kendrena, matetika satria ny mpanafika dia manimba ny kaontin'ny mpikojakoja, ny token famoahana, na ny CI/CD pipelineny maha-izy azy.
Inona no fanafihana lehibe indrindra tamin'ny rojo famatsiana npm?
Raha ny radius fipoahana no jerena, ny fanafihana ny "chalk/debug hijack" tamin'ny Septambra 2025 no anisan'ny lehibe indrindra: fonosana 18 miaraka amin'ny fampidinana 2.6 lavitrisa isan-kerinandro no voajirika tamin'ny alàlan'ny kaonty mpikojakoja phished tokana. Raha ny lafiny teknika no jerena, ny Shai-Hulud no teboka fiovana lehibe indrindra, amin'ny maha-kankana miparitaka ho azy voalohany teo amin'ny tantaran'ny npm.
Ahoana no fomba fanombohan'ny fanafihana rojo famatsiana fonosana npm?
Saika misy mombamomba ny olona nangalarina foana: mpikojakoja voafitaka, famantarana famoahana tafaporitsaka, na angalarina CI/CD fahazoan-dàlana toy ny marika OIDC nalaina avy amin'ny fitadidian'ny mpihazakazaka, fa tsy fidirana ara-teknika amin'ny npm mihitsy.
Afaka mampijanona ny fanafihana amin'ny rojo famatsiana npm ve ny antivirus na EDR?
Tsy azo ianteherana. Manara-maso ny rafitra fiasana ny EDR ary tsy mahatakatra ny rejisitry ny fonosana, ary ny antivirus dia mifototra amin'ny sonia, izay tsy mahomby amin'ny malware navoaka talohan'ny fisian'ny sonia. Ny fampitsaharana ity kilasy fanafihana ity dia mitaky fanaraha-maso amin'ny fotoana famoahana sy fametrahana azy, fa tsy amin'ny farany fotsiny.
ve SLSA provenance sa manorina fanamarinana hisorohana izany?
Manaporofo izany ny pipeline tsy novaina nandritra ny fanamboarana. Tsy manaporofo izany fa tsy voajirika ny maha-izy azy izay nahatonga ny fanamboarana, araka ny nasehon'ny tranga TanStack sy Red Hat tamin'ny alalan'ny fanamarinana manan-kery mifamatotra amin'ny fonosana mampidi-doza.
Ahoana no ahafahan'ny ekipa iray mamantatra fonosana npm ratsy alohan'ny hametrahana azy?
Amin'ny alàlan'ny fanaovana fanadihadiana mitohy momba ny malware efa misy sonia mialoha amin'ireo fonosana vao navoaka, izay no natao hataon'ny rafitra fampitandremana mialoha ny malware sy ny firewall fiankinan-doha, fa tsy miantehitra fotsiny amin'ny fijerena ny fahalemena aorian'ny fotoana fohy ny kaody efa ao anaty tahiry.
Aiza no manomboka
Tsy mihena ny fanafihana amin'ny rojo famatsiana Npm, ary ny fironana hatramin'ny Shai-Hulud dia manondro ny automation bebe kokoa, fa tsy latsaka. Ny ekipa tsara toerana indrindra amin'ny fampielezan-kevitra manaraka dia ireo izay tsy nihevitra ny fametrahana npm rehetra ho toy ny hetsika mahazatra ary nanomboka nijery ny rejisitra, ny pipeline, ary ny tendrony ho toy ny velaran-tany fanafihana mifandray iray.
Ny drafitry ny mpamorona an'ny Xygeni dia ahitana ny fandrakofana MEW sy Dependency Firewall ho an'ny tahiry hatramin'ny 25 maimaim-poana. Toerana mety tsara hijerena izay efa mipetraka ao amin'ny hazo fiankinan-doha izany.
