Отключение установочных скриптов давно стало первым советом при разборе очередного червя в npm. Теперь этого мало. 27 октября 2026 года в реестре лежит пакет @testsecuiitytestme/cache-helper, который запускает
Установить гем достаточно, чтобы выполнить чужой код, - отдельный установочный скрипт для этого не нужен. RubyGems запускает сборочные скрипты нативных расширений во время установки, а плагины - в конце
В реестре npm с 19 по 22 октября 2026 года появились 15 пакетов, имена которых заканчиваются на testmetest. Опубликовали их две учётные записи. В боевых версиях загрузка похищает учётные данные, переносится
14 июля 2026 года злоумышленник, действовавший под учётной записью GitHub с идентификатором 148100, получил доступ к двум репозиториям проекта AsyncAPI и опубликовал вредоносные версии четырёх npm-пакетов.
Пакетный менеджер npm вновь стал целью целенаправленной атаки на цепочку поставок. Злоумышленники получили контроль над учётной записью разработчика "czirker" и внедрили в 23 его пакета новую вариацию
Исследователи Socket Threat Report зафиксировали новую волну атак на цепочки поставок, связанную с семействами вредоносных программ Mini Shai-Hulud, Miasma и Hades.
24 июня 2026 года в 23:04:55 UTC в реестре npm произошла атака на цепочку поставок, затронувшая 20 пакетов, связанных с организацией LeoPlatform. Злоумышленник получил доступ к учётной записи разработчика Клинта Циркера (czirker@commercehub.
