Cuộc tấn công
Sáng Thứ Ba, 4/8/2026 (giờ Mỹ), nhà nghiên cứu Socket và Wiz thấy tấn công chuỗi cung ứng npm bắt đầu ở không gian tên keyv và cacheable sau khi tài khoản duy trì Jaredwray bị xâm nhập.
Cách lan truyền
Phiên bản độc hại dùng hook preinstall, tải Bun và chạy Math_Symbol.js, đánh cắp khóa đám mây và token npm, rồi lan bằng cách xuất bản lại các gói khác. Dữ liệu được gửi tới repo GitHub có mô tả "Shai-Hulud: Here We Go Again".
Cần làm gì
Ghim phiên bản sạch, dựng lại lockfile, kiểm toán tài khoản và xoay vòng thông tin đăng nhập. Gỡ loader độc hại trước khi xoay token.