SlugFest：npm 可信发布机制缺陷，1500 多个包面临劫持风险
Bloom Security 发现 npm 可信发布机制存在缺陷，1 个失效的仓库 slug 就能继承原有信任关系，向不属于自己的包推送恶意版本。受影响包超过 1500 个，累计下载量逾 1000 万次。
GitHub Actions
GhostAction 复活：恶意 GitHub Actions 工作流植入数万仓库窃取密钥
供应链攻击活动 GhostAction 复活：攻击者用被盗维护者凭证向数万个 GitHub 仓库植入伪装成安全审计的 Actions 工作流，遍历 git 历史窃取 AWS、OpenAI、Anthropic 密钥并明文回传。
Mini Shai-Hulud 复活：GitHub Actions 恶意标签再投毒约 1.5 万仓库
两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。
CVE-2026-19478：GitLab GraphQL 代码注入漏洞遭在野利用，未授权攻击者可改写公开项目数据
GitLab 披露 GraphQL 代码注入漏洞 CVE-2026-19478，CVSS 评分 9.4，攻击者无需任何认证即可通过精心构造的 GraphQL 指令修改或删除公开项目及其数据。watchTowr 研究团队确认漏洞披露数日内即观察到在野利用尝试，所有自托管 GitLab 社区版与企业版的用户需立即升级至 19.2.4、19.1.6、19.0.8 或 18.11.11。
GitHub Actions 安全加固实战：CI/CD 供应链攻击防护配置
GitHub Actions 是 CI/CD 供应链攻击的重灾区：secrets 泄露、第三方 action 投毒、pull_request_target 滥用都可能导致生产环境被接管。本文从权限最小化、secrets 保护、第三方 action 固定版本、自托管 runner 隔离四个维度，给出可直接落地的加固配置。
“Shai-Hulud” npm 蠕虫式供应链攻击：868 个包、20 亿次月下载量遭劫持
2026 年 8 月 4 日，npm 生态爆发 Shai-Hulud 新一轮供应链攻击。keyv 维护者账号被劫持后，868 个包、合计月下载量超 20 亿次遭注入自传播蠕虫，preinstall、内置 Bun 运行时与 IDE 钩子可在 30 分钟内横扫多家组织窃取凭据。
AsyncAPI npm包遭遇供应链攻击：Import-time执行绕过–ignore-scripts防护
微软威胁情报团队发现AsyncAPI npm组织5个包版本被植入恶意loader，利用import-time执行机制绕过npm install –ignore-scripts防护，通过IPFS投递Miasma远控框架。