Serangan
Pagi Selasa, 4 Ogos 2026 (masa AS), penyelidik Socket dan Wiz melihat serangan rantaian bekalan npm bermula di ruang nama keyv dan cacheable selepas akaun penyeelenggara Jaredwray dikompromi.
Cara merebak
Versi berniat jahat menggunakan cangkuk preinstall, memuat turun Bun dan menjalankan Math_Symbol.js, mencuri kunci awan dan token npm, lalu menyebar dengan menerbitkan semula pakej. Data dihantar ke repositori GitHub bertajuk "Shai-Hulud: Here We Go Again".
Apa perlu dibuat
Pin versi bersih, bina semula lockfile, audit akaun dan putar kelayakan. Buang pemuat berniat jahat sebelum memutar token.
