Ang atake
Noong umaga ng Martes, Agosto 4, 2026 (oras sa US), nakita ng Socket at Wiz ang npm supply-chain attack sa keyv at cacheable namespaces matapos ma-compromise ang maintainer account na Jaredwray.
Paano kumakalat
Gumagamit ang malicious versions ng preinstall hook, nagda-download ng Bun at nagpapatakbo ng Math_Symbol.js, ninanakaw ang cloud keys at npm tokens, at kumakalat sa pamamagitan ng muling pag-publish. Ang data ay pupunta sa GitHub repos na may letrang "Shai-Hulud: Here We Go Again".
Ano ang dapat gawin
I-pin ang malinis na bersyon, i-rebuild ang lockfiles, i-audit ang accounts at i-rotate ang credentials. Alisin ang malicious loaders bago i-rotate ang tokens.