Checkmarx 供應鏈攻擊擴大，Bitwarden 證實 NPM 套件遭駭
攻擊事件概述
知名資安公司 Checkmarx 近日遭遇供應鏈攻擊，引發業界高度關注。隨著事故影響範圍持續擴大，密碼管理解決方案公司 Bitwarden 證實其開發的 NPM 套件也遭駭入。
受影響套件與惡意版本
Bitwarden 推出的 NPM 套件 Bitwarden CLI 遭植入惡意程式。攻擊者發布了惡意版本 2026.4.0，其代號為「Shai-Hulud: The Third Coming」。此惡意版本的目的是搜刮開發者的憑證與敏感資料。
駭客手法與影響
此次攻擊被認為是 Checkmarx 大規模供應鏈攻擊的一部分。攻擊者透過汙染公開的 NPM 套件，讓開發者在安裝時無意引入惡意程式碼。受影響的開發者若不慎安裝了惡意套件，其帳號憑證可能面臨洩漏風險。
官方建議與應對措施
針對此事件，Bitwarden 呼籲受影響的使用者立即採取以下行動：
- 透過 NPM 指令移除受影響的套件。
- 清除 NPM 的暫存資料（cache）。
- 在清理過程中，暫時停用 NPM 安裝指令碼的功能。
- 檢查並更新受影響的開發環境。
相關背景
此次事件發生在 2026 年 4 月，與 Checkmarx 自身遭遇的供應鏈攻擊活動有關。攻擊者代號「Shai-Hulud」的行動顯示其組織性與技術能力，進一步威脅到軟體供應鏈的安全。