Bitwarden CLI пострадал от нападения на цепочку поставок, вредоносный пакет циркулировал около 1,5 часов

SlowMist CISO 23pds сообщил, что инструмент управления паролями Bitwarden CLI версии 2026.4.0 подвергся атаке цепочки поставок Checkmarx между 17:57 и 19:30 по восточному времени. Злоумышленник кратковременно распространял вредоносный пакет через npm, злоупотребляя GitHub Action в конвейере Bitwarden CI/CD.

Официальное подтверждение гласит, что данные Vault не были утечены, а производственные системы не пострадали; пострадали только пользователи, установившие эту версию через npm в это время. Официальная рекомендация для пострадавших пользователей: немедленно удалить 2026.4.0, очистить кэш npm, повернуть чувствительные учетные данные, такие как API-токены и SSH-ключи, расследовать любые ненормальные действия на GitHub и CI и обновить до исправленной версии 2026.4.1.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.