11 мая 2026 года группа TeamPCP, известная по предыдущим инцидентам с SAP, Checkmarx и Bitwarden, одновременно атаковала два крупнейших реестра пакетов - npm и PyPi.
Разработчики по всему миру столкнулись с атакой, которая использует механизмы доверенной публикации против самих же авторов. Исследователи из компании JFrog опубликовали отчёт о продолжающейся кампании Shai-Hulud: Here We Go Again.
Группа TeamPCP, стоявшая за серией громких атак на реестры пакетов npm и PyPI в начале и середине 2026 года, неожиданно выложила в открытый доступ полный исходный код своего наступательного инструментария.
Группа TeamPCP запустила новую волну самораспространяющегося червя Mini Shai-Hulud. Вредоносная программа атаковала механизмы непрерывной интеграции и доставки (CI/CD), чтобы украсть секреты и опубликовать
Двенадцатого мая 2026 года команда Threat Research компании Socket обнаружила масштабную компрометацию цепочки поставок программного обеспечения. Вредоносные изменения были внесены в 84 пакета из пространства имён TanStack.
Масштабная кампания по заражению цепочек поставок, получившая название Mini Shai-Hulud, вышла за пределы JavaScript-экосистемы и поразила репозиторий PHP-пакетов.
Разработчики, использующие официальный SDK для Node.js под названием intercom-client, столкнулись с серьёзной угрозой для цепочки поставок. Специалисты компании Socket Threat Research обнаружили и подтвердили, что версия 7.
Популярный пакет lightning, предназначенный для построения и обучения моделей машинного обучения и скачиваемый примерно восемь миллионов раз в месяц, стал источником серьёзной угрозы.
В ноябре 2025 года мир разработки столкнулся с беспрецедентной атакой на цепочку поставок программного обеспечения. За 72 часа кампания, получившая название Shai-Hulud, скомпрометировала более 25 000 репозиториев на GitHub.
В конце ноября 2025 года специалисты по информационной безопасности зафиксировали вторую, более мощную волну атаки под названием Shai-Hulud, нацеленную на экосистему npm.
