Łańcuch Dostaw Oprogramowania

GitHub wprowadził zmiany w procesie publikowania pakietów npm po odkryciu luki bezpieczeństwa, która pozwalała na przejęcie kontroli nad ponad 1500 pakietami. Nowe zasady nakazują weryfikację konfiguracji publikowania w ciągu 48 godzin od jej utworzenia, aby zapobiec atakom typu “hijacking”, gdzie złośliwy użytkownik mógłby publikować nowe wersje pakietów innych osób bez kradzieży ich danych uwierzytelniających. Luka, nazwana “SlugFest”, wykorzystywała sposób, w jaki npm identyfikował repozytoria, opierając się na ich nazwie zamiast na trwałym identyfikatorze.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Branża usług finansowych od lat akceptuje zaległości w zakresie luk bezpieczeństwa, stawiając stabilność ponad aktualizacje z powodu złożonej infrastruktury i regulacji. Jednak postępujące modele bezpieczeństwa, zdolne do szybkiego identyfikowania i wykorzystywania uśpionych słabości w łańcuchu dostaw oprogramowania, sprawiają, że takie podejście jest już niewystarczające, wymuszając modernizację podstawowych komponentów i narzędzi, zamiast całych aplikacji, co można osiągnąć poprzez wdrażanie bezpiecznych obrazów bazowych i usprawnione zarządzanie zależnościami.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wykryto złośliwy pakiet npm ‘indexed-btree’, który zamiast tradycyjnych skryptów cyklu życia, maskował swoje działania w kodzie aplikacji w czasie rzeczywistym, co sugeruje zmianę taktyki cyberprzestępców w obliczu nowych zabezpieczeń. Pakiet, udający legalną bibliotekę B-tree, został pobrany miliony razy zanim został usunięty, a jego twórca mógł zarobić prawie 231 tysięcy euro w kryptowalutach, wykorzystując lukę w zabezpieczeniach związaną z automatycznym wykonywaniem skryptów instalacyjnych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitHub wzmacnia bezpieczeństwo łańcucha dostaw oprogramowania, aktualizując narzędzie “actions/checkout”, aby blokować ataki “pwn request”, które wykorzystywały niebezpieczne wyzwalacze “pull_request_target workflow” do uruchamiania złośliwego kodu z pełnymi uprawnieniami. Od 18 czerwca 2026 r. najnowsza wersja “actions/checkout” domyślnie odrzuci typowe wzorce ataków “pwn request”, ze szczególnym uwzględnieniem pull requestów z forków, co ma na celu zapobieganie wykorzystywaniu wrażliwego wyzwalacza “pull_request_target”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Międzynarodowa współpraca CrowdStrike, Google i Shadowserver Foundation doprowadziła do zneutralizowania wszystkich kanałów dowodzenia i kontroli (C2) związanych z kampanią GlassWorm, która od wczesnego 2025 roku systematycznie atakowała deweloperów oprogramowania poprzez zainfekowane pakiety i rozszerzenia. Złośliwe oprogramowanie, wykorzystując m.in. blockchain Solana, BitTorrent DHT i Google Calendar do utrzymania odpornej infrastruktury, miało na celu kradzież danych, tokenów i potencjalnie zatruwanie repozytoriów kodu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitHub wprowadził nowe funkcje bezpieczeństwa dla npm, w tym “staged publishing”, które wymaga od opiekunów pakietów zatwierdzenia wydania za pomocą uwierzytelniania dwuskładnikowego (2FA) przed jego publicznym udostępnieniem, oraz nowe flagi do kontrolowania źródeł instalacji pakietów, mające na celu przeciwdziałanie atakom na łańcuch dostaw oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Ataki typu typosquatting ewoluowały: atakujący osadzają teraz podobne do legalnych domeny w zatwierdzonych skryptach stron trzecich, co sprawia, że tradycyjne metody obrony (firewalle, WAF, EDR) są nieskuteczne, a zaawansowane modele językowe AI ułatwiają masowe tworzenie złośliwych domen, znacząco zwiększając ryzyko w całym łańcuchu dostaw oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)