Bitwarden CLI скомпрометирован в кампании атаки цепочки поставок Checkmarx

Коллеги, хочу обратить внимание в сфере кибербезопасности: Bitwarden CLI был скомпрометирован в рамках новой кампании, связанной с Checkmarx.

Socket сообщил, что в пакете @bitwarden/cli@2026.4.0 добавили вредоносный файл bw1.js; атака использовала скомпрометированную GitHub Action в CI/CD. JFrog отметила, что злоумышленники похищали GitHub/npm токены, .ssh, .env, историю shell и облачные секреты, затем эксфильтрировали данные.

Версия уже удалена из npm, но злоумышленники использовали украденные токены для публикации заражённых пакетов и внедрения рабочих процессов.

Почему это важно: атаки цепочки поставок позволяют компрометировать клиентов и инфраструктуру через доверенные пакеты.

Какие шаги Вы предпринимаете для защиты CI/CD и управления секретами?

#кибербезопасность #supplychain #CI/CD #opensource