跳到内容
返回文章列表
security2 min

keyv/cacheable 的 npm 蠕虫波及 400 多个包

npm worm in keyv/cacheable hits 400+ packages: Shai-Hulud again

KGA IT
2026-10-12更新:2 min
npmSupply ChainkeyvcacheableShai-HuludMalware
Capa: ataque à cadeia de suprimentos npm em keyv e cacheable

攻击概况

**2026年8月4日(周二)**上午(美国时间),Socket 与 Wiz 研究人员发现,在维护者账户 Jaredwray 疑似被入侵后,keyv 与 cacheable 命名空间出现 npm 供应链攻击。相关包周下载量达数千万,多为间接依赖。

传播方式

恶意版本通过 preinstall 钩子下载 Bun 并运行 Math_Symbol.js,窃取云密钥与 npm 令牌,再用被盗令牌重新发布其他包。数据被送往描述为 "Shai-Hulud: Here We Go Again" 的 GitHub 仓库。

该做什么

固定干净版本、重建 lockfile、审计账户并轮换凭据。务必在轮换令牌之前清除恶意加载器。

来源

携手解决您的技术挑战

KGA IT Solutions 拥有 AI、云计算、DevOps 专业团队,为您的业务挑战提供最佳方案。

联系我们