Losoose, awọn eto wiwa malware wa n ṣe ayẹwo ẹgbẹẹgbẹrun awọn package tuntun ati awọn imudojuiwọn kọja awọn iforukọsilẹ gbogbogbo bi npm ati PyPI. Ọsẹ yii kii ṣe iyatọ.
A ti ṣe àfihàn àwọn ìdìpọ̀ ìbàjẹ́ tó lé ní 200 láàárín June 12t àti June 19th, 2026, èyí tó pọ̀ jùlọ ní gbogbo npm, pẹ̀lú àwọn ọ̀ràn míràn nínú PyPI. Ọ̀pọ̀lọpọ̀ farahàn nínú àwọn ìdìpọ̀ ìṣètò, àwọn ìtẹ̀jáde ìbàjẹ́ tí a tẹ̀ jáde lábẹ́ orúkọ kan náà tàbí láàárín àwọn ìdílé ìdìpọ̀ tí ó jọra.
Ọ̀ràn tó gbajúmọ̀ jùlọ ní ọ̀sẹ̀ yìí ni sensivity, èyí tí ó kún fún àwọn ìtújáde tí ó ju 70 lọ ní gbogbo 2.5.x, tí a ti fìdí rẹ̀ múlẹ̀ ní ọ̀pọ̀ ọjọ́. Àwọn ẹgbẹ́ mìíràn tí ó ṣe pàtàkì pẹ̀lú ìgbì ti @solana-labs àwọn àṣìṣe tí ó ń fojúsùn sí ètò ìṣẹ̀dá Solana (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — ní gbogbo àwọn ìpolówó ìtẹ̀wé méjì ọ̀tọ̀ọ̀tọ̀ ní ọjọ́ keje oṣù kẹfà àti ọjọ́ kẹjọ oṣù kẹfà), @nstrlabs idile (sdk, ixel, utils, shared-components, api-client, auth — ìkọlù ìdàrúdàpọ̀ ìgbẹ́kẹ̀lé lòdì sí ààyè orúkọ inú package), @klapp-login-platform Ẹgbẹ (native-sdk, oidc, routes — ṣíṣe àfarawé pẹpẹ ìfàṣẹsí kan), internallib_v557 ati internallib_v984 (ọpọlọpọ awọn ẹya ti awọn aṣiwère inu ile-ikawe ti o di mimọ), pocteszep (àwọn àtúnṣe mẹ́fà tí a tẹ̀ jáde ní ọjọ́ kọkànlá oṣù kẹfà), àti àkójọpọ̀ àwọn ohun èlò ìlò crypto àti Web3 pẹ̀lú blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, Ati farming-tools-12. awọn morningstar-design-system Àkójọpọ̀ náà farahàn ní àwọn àtúnṣe mẹ́ta ní ọjọ́ kẹwàá oṣù kẹfà, ó ń ṣe àfarawé ètò ìnáwó tí a mọ̀ dáadáa.
Láti ọjọ́ kẹtàlá oṣù kẹfà lọ, iyàrá náà yára sí i. houzidawang806 ìdìpọ̀ nìkan ló ṣe àkójọ àwọn àtúnṣe tó lé ní 25 tí wọ́n tẹ̀ jáde ní ọjọ́ kan ṣoṣo, tí àwọn ọmọ ìyá dara pọ̀ mọ́ wọn. houzidawang807 ati houzidawang808. awọn metrics-pipeline-d8k2 Wọ́n tún tẹ̀ ẹ́ jáde lórí àkójọpọ̀ náà ní gbogbo ìgbà láti inú àwọn àtúnṣe 21 láàárín ọjọ́ kẹẹ̀ẹ́dógún oṣù kẹfà sí ọjọ́ kejìdínlógún oṣù kẹfà — ìpolongo ìsádi tí a ṣe láti wà níwájú àwọn àkójọpọ̀ ìwé-àṣẹ. friendly-greeter-demo Àkójọpọ̀ náà ń farahàn ní gbogbo àwọn àtúnṣe jálẹ̀ ọ̀sẹ̀ náà. Àwọn ìgbìyànjú ìdàrúdàpọ̀ tuntun farahàn lábẹ́ xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategies, àti ọ̀pọ̀lọpọ̀ mìíràn — gbogbo wọn ní àwọn nọ́mbà ẹ̀yà tí a ti gbóná sí i ní ìpele 999.x. Àkójọpọ̀ tuntun ti àwọn orúkọ ìlò gbogbogbò pẹ̀lú àwọn àfikún hex láìròtẹ́lẹ̀ (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*) farahàn ní ọjọ́ kejìdínlógún sí ọjọ́ kọkàndínlógún oṣù kẹfà, gẹ́gẹ́ bí ìforúkọsílẹ̀ gbogbo ènìyàn tí a kọ sílẹ̀. Ọ̀sẹ̀ náà parí pẹ̀lú trimprompt, trimprompt-hub, claude-cup, Ati web3-crypto-address-utils ti jẹrisi ni Oṣu Kẹfa ọjọ 19. Ninu PyPI, neuralbridge-sdk (àwọn ẹ̀yà márùn-ún lórí 4.5.x–5.1.x), deepstrain, teambot-ai, hello-test-s1, Ati aiaddin-agent ti jẹrisi jakejado ọsẹ.
Àwọn wọ̀nyí kì í ṣe àwọn ohun àìdáa tó yàtọ̀. Ohun tó hàn gbangba ní ọ̀sẹ̀ yìí ni ìdààmú ìgbẹ́kẹ̀lé lórí àwọn ibi orúkọ inú àpò ìforúkọsílẹ̀, àwọn ìpolongo ìtẹ̀jáde ọjọ́ púpọ̀ tí a ṣe láti borí àwọn ìyọkúrò, ìfojúsùn tí a ń tẹ̀síwájú nínú Web3 àti DeFi tooling (àpẹẹrẹ kan tí ó ti yára sí i ní ọdún 2026), àti lílo àwọn orúkọ àpapọ̀ gbogbogbòò, bíi ariwo tí a ṣe láti yẹra fún wíwá nípa pípapọ̀ mọ́ àwọn igi ìgbẹ́kẹ̀lé déédéé.
Àwòrán ọ̀sọ̀ọ̀sẹ̀ yìí jẹ́ ara Àkójọ Ìlànà Ìwà-búburú wa tí ń lọ lọ́wọ́, níbi tí a ti ń fìdí àwọn ìhalẹ̀mọ́ tuntun múlẹ̀ àti láti pèsè ìmòye tí ó ṣeé ṣe láti ran àwọn ẹgbẹ́ DevSecOps lọ́wọ́ láti dáàbòbò wọ́n. pipelinekí ìbàjẹ́ tó ṣẹlẹ̀. Ẹ jẹ́ ká ṣàlàyé ohun tí a rí ní ọ̀sẹ̀ yìí àti ìdí tí ó fi ṣe pàtàkì.
Má ṣe jẹ́ kí àwọn ìpolówó tí a ṣètò dé ọ̀dọ̀ rẹ Pipelines
Àkójọpọ̀ ọ̀sẹ̀ yìí kò dá lórí ewu kan ṣoṣo; ó jẹ́ nípa ìwọ̀n. Àwọn ìdìpọ̀ tó lé ní 200 tí a ti fìdí rẹ̀ múlẹ̀, àtúnṣe tó ń kún fún ọ̀pọ̀lọpọ̀ ọjọ́, àti àwọn ìpolongo ìforúkọsílẹ̀ tó pọ̀ tí ó ń yára ju bí àwọn àtúnyẹ̀wò ọwọ́ ṣe lè tọ́pinpin lọ. Àwọn olùkọlù náà kò dúró dè ọ́ láti dé ọ̀dọ̀ rẹ.
Ṣíṣàwárí Malware ní ìbẹ̀rẹ̀ Xygeni Ó máa ń ṣe àyẹ̀wò npm, PyPI, àti àwọn ìforúkọsílẹ̀ mìíràn nígbà gbogbo, ó sì máa ń fi àmì sí àwọn ìhalẹ̀ ní àkókò tí a bá tẹ̀ wọ́n jáde, kì í ṣe lẹ́yìn tí wọ́n bá ti dé sí ìkọ́lé kan. Nígbà tí ìpolongo kan bá ń tẹ̀ àwọn ẹ̀yà 21 ti àpò ìkà kan náà jáde láàárín ọjọ́ mẹ́rin, ìwádìí ọ̀sọ̀ọ̀sẹ̀ kò ní rí ohunkóhun ní àkókò.
Xygeni's Open Source Security ojutùu naa fun awọn ẹgbẹ DevSecOps rẹ ni ifarahan akoko gidi ati pataki ti wọn nilo lati wa niwaju iru titẹ eto yii, nitorinaa tirẹ pipelineẸ jẹ́ kí àwọn ẹgbẹ́ yín wà ní mímọ́ láìsí ìdíwọ́.
