Mini Shai‑Hulud: компрометированы пакеты TanStack

Коллеги, внимание: в сфере кибербезопасности выявлена кампания Mini Shai‑Hulud, компрометировавшая пакеты npm/PyPI (TanStack, Mistral, Guardrails).

Кратко:
- В пакеты внедрён обфусцированный стилер, крадущий креденшелы; данные утекают через Session Protocol и репозитории злоумышленников.
- Закрепляется в Claude/VS Code, мониторит GitHub‑токены и внедряет вредоносные GitHub Actions.
- TanStack связывает атаку с цепочкой GitHub Actions (hijacked OIDC, pull_request_target, cache poisoning); CVE‑2026‑45321 (CVSS 9.6).

Важно: публикуются валидно аттестованные вредоносные версии — критический риск цепочки поставок.

Рекомендую отозвать OIDC/publish‑токены, проверить workflows и кеши, просканировать зависимости.

Какие меры Вы уже применяете для защиты CI/CD?

#кибербезопасность #supplychain #DevSecOps #GitHubActions