Výzkumníci podle zprávy objevili ve složce Stažené soubory podvržený instrukční soubor AGENTS.md. Ten přiměl AI asistenta pro kódování k instalaci škodlivého balíčku z registru npm.
npm US
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0009 USD
Elastic Security Labs odhalily kampaň vydávající se za Web3 akcelerátor Apex, která cílila na kryptoměnové startupy nabídkou bezplatných AI kreditů a auditních nástrojů. Podle výzkumníků skupina šířila škodlivé balíčky @apexacc/cli a @apexacc/audit, jež do systémů Windows a macOS nasazovaly zlodějský malware a backdoory.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0024 USD
Podle analýzy společnosti Qualys zneužívají útočníci škodlivé balíčky ke krádeži cloudových přihlašovacích údajů přímo během instalace na stanicích vývojářů a v CI/CD pipeline. Kompromitace nástrojů a závislostí tak slouží jako vstupní brána do cloudových prostředí a k následnému zcizení dat.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0023 USD
Bezpečnostní experti objevili dosud nepopsaný trojský kůň Kothamine šířený přes škodlivé npm balíčky. Škodlivý kód dává útočníkům plnou kontrolu nad napadeným systémem Windows a v novějších verzích využívá open-source nástroj tailcat k šifrované C2 komunikaci bez tradičních domén.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0023 USD
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
PyPI npm Docker GitHub zdravotnictví veřejná správa média US
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0024 USD
Podle bezpečnostních výzkumníků se známý škodlivý kód červa Shai-Hulud po 111 dnech neaktivity znovu objevil v registru npm. Škodlivý balíček dokázal obejít tamní malware skenery, které jej měly zachytit.
npm BE
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0009 USD
Podle zdroje funkce npm Trusted Publishing zůstávala skoro nepoužívaná déle než dva roky, dokud ji nebyla akcelerována útoky na dodavatelský řetězec, včetně Shai-Hulud. Zdroj uvádí, že tato incidenta a dalších 14 útoků zvýšily přijetí funkce 3,4krát.
npm BE
Shrnutí generováno strojově za 0,0025 USD
Společnost Elastic popsala postup sledování direktivy min-release-age v konfiguračních souborech .npmrc na pracovních stanicích vývojářů za pomoci integrace CEL v nástroji Elastic Agent. Tento přístup řeší limity běžného sledování protokolů a umožňuje spolehlivě odhalit smazání bezpečnostní prodlevy před instalací nových balíčků.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0023 USD
Společnost Elastic popsala způsob monitorování konfigurace min-release-age v souborech .npmrc na pracovních stanicích vývojářů. Toto nastavení chrání před útoky na dodavatelský řetězec ignorováním čerstvě vydaných verzí balíčků. Místo běžného sledování protokolů autor použil integraci Common Expression Language v nástroji Elastic Agent, která pravidelně kontroluje obsah konfiguračních souborů a upozorní na případné smazání ochranné lhůty.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0024 USD
Podle Microsoftu zasáhl rozsáhlý útok na dodavatelský řetězec npm přes 400 balíčků včetně keyv či flat-cache. Útočníci do nich vložili červa Mini Shai-Hulud, který krade přihlašovací údaje a sám se dále šíří přes kompromitované publikátorské tokeny.
npm US
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0021 USD
Zdroj uvádí, že útočník vložil malware Shai-Hulud do balíčku keyv a osmi souvisejících balíčků npm 4. srpna 2026 poté, co kompromitoval účet GitHubu správce. Jednalo se o útok prostřednictvím dodavatelského řetězce.
npm BE
Shrnutí generováno strojově za 0,0022 USD
Podle zdroje byl kompromitován účet správce na GitHubu, čímž došlo ke zneužití více npm balíčků v ekosystému keyv/cacheable. Útočník publikoval verze balíčků s jednotným škodlivým kódem.
npm US
Shrnutí generováno strojově za 0,0021 USD
Podle zdroje npm zavedl novou 72hodinovou zamrazovací politiku pro vysoce ohrožené účty. Nová ochrana se spouští při rizikovém nastavení účtu a omezuje určité akce, zatímco pracuje paralelně s důvěryhodným a postupným publikováním.
npm BE
Shrnutí generováno strojově za 0,0022 USD
Společnost Aikido navázala partnerství se službou Drydock s cílem umožnit správcům kontrolu balíčků před jejich publikací do registrů npm a PyPI. Podle oznámení má toto řešení odhalit malware a zobrazit přesný obsah vydání ještě před prvním stažením uživateli.
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0010 USD
Podle zdroje npm v12 činí instalační skripty opt-in standardem a zavírá tak cestu útokům využívajícím spouštění kódu během instalace, kterými trpěla npm dodávka po dobu roku.
npm BE
Shrnutí generováno strojově za 0,0021 USD
Zdroj uvádí, že dne 14. května 2026 bylo na npm nahráno více trojánských verzí balíčku @node-ipc (verze 9.1.6, 9.2.3 a 12.0.1). Podle vydavatele zlomyslný kód sbírá data a exfiltruje je prostřednictvím DNS tunelování.
npm US
Shrnutí generováno strojově za 0,0025 USD
Podle CSIRT Itálie byla zaznamenána rozsáhlá kampaň Mini Shai-Hulud cílící na dodavatelský řetězec v ekosystému npm. Útočníci využívají malware typu červ k infiltraci do vývojových prostředí a CI/CD pipeline, odkud kradou citlivé přihlašovací údaje a automatizovaně šíří škodlivé verze legitimních balíčků.
npm IT
Shrnutí generováno strojově (gemini-3.8-flash) za 0,0012 USD
Podle Wiz Research byla kampaň PolinRider přisuzovaná teroristům spojeným s KLDR zásahem do dodavatelského řetězce. Útočníci kompromitovali přes 1 900 repozitářů na GitHubu prostřednictvím škodlivých balíčků npm, artefaktů VS Code a injektovaných skriptů JavaScriptu.
Shrnutí generováno strojově za 0,0026 USD
Podle zdroje Node.js vyhledává moduly v adresáři C:\node_modules jako součást výchozího chování, což na Windows umožňuje uživatelům s nízkými právy vytvořit tento adresář a nasadit tam škodlivé moduly. Zranitelnost se týká aplikací s chybějícími nebo volitelnými závislostmi, včetně npm CLI (CVE-2026-0775) a desktopové aplikace Discord (CVE-2026-0776), přičemž Discord zůstává neopravený; Node.js, npm a Discord nepovažují tento vzorec za zranitelnost.
EPSS 0.00 CVE-2026-0775 CVE-2026-0776 Node.js npm Discord US
Shrnutí generováno strojově za 0,0046 USD