Компания Elastic Security Labs зафиксировала новую масштабную атаку на экосистему npm - менеджера пакетов для Node.js, широко используемого в разработке на JavaScript.
4 августа 2026 года в реестре пакетов npm (менеджера зависимостей для языка JavaScript) произошла атака на цепочку поставок. Злоумышленники получили контроль над процессом публикации пакета keyv и связанных с ним библиотек.
В начале августа 2026 года в официальном реестре пакетов npm для языка JavaScript зафиксирована серия подозрительных публикаций в четырёх корпоративных пространствах имён.
В npm-реестре обнаружен самораспространяющийся вредоносный код, который начинал атаку с пакетов keyv и cachable, а затем расширился на более чем 440 пакетов, опубликовав свыше двух тысяч зараженных версий.
Атака на цепочку поставок в мире открытого кода затронула популярные пакеты Keyv и Cacheable, которые применяются для кэширования данных в среде Node.js. Многие веб-проекты используют эти библиотеки как часть своей инфраструктуры.
В экосистеме Node.js злоумышленники начали новую серию атак на цепочку поставок. Они скомпрометировали широко используемые библиотеки кэширования cacheable и keyv.
npm - крупнейший реестр программных компонентов для языка JavaScript. Эту платформу используют миллионы разработчиков по всему миру, и практически каждый веб-проект так или иначе зависит от пакетов из этого реестра.
4 августа 2026 года в реестре npm вышла версия 6.0.0 популярного пакета keyv, который используется для хранения данных. В этой версии обнаружился вредоносный сценарий, срабатывающий сразу после установки.
В репозитории npm, крупнейшем менеджере пакетов для экосистемы JavaScript, выявлены два вредоносных пакета - bianira-ui и fluid-type-ui. Они маскируются под легитимные плагины для популярного CSS-фреймворка
В реестрах открытого программного обеспечения npm и PyPI обнаружена крупная партия вредоносных пакетов. Они нацелены на разработчиков и похищают конфиденциальные данные, включая ключи криптовалютных кошельков
