供应链安全 - 卫方智能网络安全资讯平台

「indexed-btree」周下载量近 200 万：运行时投毒绕过 npm v12 防护

2026年10月2日作者卫方智能

Checkmarx 披露一起 npm 供应链投毒行动：恶意包 indexed-btree 冒充合法库 sorted-btree，峰值周下载量约 200 万次，载荷藏于运行时函数而非安装脚本，从而绕过 npm v12 的安装期加固，C2 指令则托管在以太坊测试网智能合约上。

2026年10月2日作者卫方智能

德国慕尼黑安全文件传输服务商 FTAPI 确认遭遇勒索攻击，The Gentlemen 组织称已入侵其内部服务器并在暗网列出泄露倒计时。FTAPI 称客户平台与交换数据未受影响，但其 2000 多家机构客户仍面临冒充供应商的定向钓鱼风险。

2026年10月1日作者卫方智能

Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。

2026年10月1日作者卫方智能

OX Security 披露 PhantomSub 活动：101 个伪装成 Baileys 的恶意 npm 包在建立会话后把开发者的 WhatsApp 账号自动加入攻击者控制的频道，累计下载约 49 万次。

2026年9月30日作者卫方智能

容器镜像签名验证实战：cosign 密钥对生成、按 digest 签名与验证、keyless 身份绑定、SBOM 附着签名，以及 Kyverno 准入门强制校验配置。附篡改回归测试方法。

2026年9月30日作者卫方智能

UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。

2026年9月29日作者卫方智能

OpenClaw 与 ClawHub 于 9 月 26 日集中披露约 79 个漏洞，涵盖沙箱逃逸、授权绕过、命令注入与路径遍历，最高 CVSS 8.8，修复版本为 2026.7.1 与 2026.8.1，技能市场投毒仍是活跃通道。

2026年9月28日作者卫方智能

两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。

2026年9月26日作者卫方智能

GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。

2026年9月26日作者卫方智能

企业文件传输厂商 Kiteworks 向全球客户发出预防性停机预警，建议本周六关停系统九小时。公司称收到联邦情报机构可信威胁情报，指向未知零日漏洞，Shodan 上至少 1000 个实例暴露公网。

2026年9月25日作者卫方智能

SBOM 依赖成分扫描实战：用 syft 生成 CycloneDX 组件清单，用 grype 比对漏洞库并按严重级别阻断发布，含 CI 流水线闸门与误报处理方案。

2026年9月21日作者卫方智能

SRI 子资源完整性防御实战：从 sha384 哈希生成、构建期自动注入 integrity、CSP require-sri-for 强制到篡改模拟验证，完整给出第三方 CDN 脚本被投毒后的自动拦截方案与故障排查。