5 октября 2026 года в реестре npm появилась версия 5.8.3 библиотеки @subql/common с вредоносной вставкой. Код срабатывает в двух случаях: когда разработчик устанавливает пакет и когда приложение просто импортирует его.
29 сентября 2026 года в реестре npm появились девять пакетов от одного аккаунта. Восемь копировали библиотеку Express версии 5.2.1, девятый - библиотеку React версии 19.
В сентябре 2026 года в реестре npm появились девять пакетов, которые выглядели как обычные служебные библиотеки. Подключить такую библиотеку к проекту оказалось достаточно, чтобы на машине разработчика запустился скрытый процесс.
Незадокументированная программа удалённого доступа Kothamine Agent даёт злоумышленникам полный контроль над заражённым компьютером на Windows. Первыми под удар попали разработчики, которые устанавливали
23 сентября 2026 года в публичных реестрах npm и PyPI появились модифицированные версии двух программных пакетов с открытым исходным кодом. Подмену зафиксировали в плагине OpenClaw для платформы npm и в библиотеке MemoryOS для Python.
23 сентября 2026 года в двух крупных реестрах библиотек - npm для JavaScript и PyPI для Python - появились заражённые версии пакетов. Злоумышленник опубликовал обновления продукта для работы с памятью и связанной с ним надстройки.
В августе 2026 года в публичном репозитории npm появился пакет tw-pkgprobe-7731. Он представлялся официальным инструментом программы поиска уязвимостей, которую Twilio поддерживает для внешних исследователей.
Девятого сентября 2026 года чужая активность в учётной записи сопровождающего npm-пакета dforge-mcp продлилась 105 минут. За это время в проекте появился файл-загрузчик, сборочный конвейер перестал ждать
Несколько вредоносных пакетов в реестре npm оказались звеньями одной операции. Она идёт с марта 2026 года. Цель - разработчики, занятые количественным анализом и проектами в сфере DeFi (децентрализованные финансы).
Вредоносный пакет indexed-btree скачивали из npm почти два миллиона раз в неделю. Снаружи он выглядел как заурядная библиотека для быстрой работы с индексами и повторял назначение известного пакета с похожим названием.
