Новости: цепочка поставок

Команда RubyGems внедрила в bundler функцию периода охлаждения для защиты разработчиков Ruby от атак на цепочки поставок ПО. Нововведение откладывает установку недавно обновленных пакетов, давая время на проверку. — csoonline.com

Собственные чипы BYD, NIO, XPeng и Tesla меняют автопром: пять гигантов разрабатывают чипы для автопилота, бросая вызов сторонним поставщикам и вызывая тектонический сдвиг в цепочке поставок. — pandaily.com

Активирована цепочка поставок фабрики Samsung Taylor: ENF Technology начала отгрузку технологических химикатов на литейное производство Samsung в Техасе в апреле 2026 года со своего завода в Кайле — первый корейский поставщик материалов, осуществивший поставку на территории США. Конкуренты Dongjin Semichem и Soulbrain отстают на 1–3 года, пока Samsung… — techtimes.com

Разработчики, загрузившие пакеты из npm-пространства Red Hat Cloud Services, обнаружили в них червя, крадущего секреты. Специалисты предупреждают об атаке на цепочку поставок, скомпрометировавшей более 30 пакетов для кражи учетных данных и токенов. — csoonline.com

CrowdStrike, Google и Shadowserver Foundation совместно нейтрализовали ботнет, отравивший более 300 репозиториев GitHub и угрожавший масштабной компрометацией цепочки поставок. — computerweekly.com

Киберпреступники использовали ботнет Glassworm для заражения вредоносным ПО проектов с открытым исходным кодом, а затем для взлома разработчиков и компаний, использующих это ПО. — techcrunch.com

Раскрытие Socket о кампании TrapDoor выявило более 34 вредоносных пакетов в npm, PyPI и Crates.io, нацеленных на разработчиков и их учетные данные. TrapDoor создала маршрут от скомпрометированной машины разработчика до репозиториев и CI/CD. — cryptoslate.com

22 апреля примерно в течение 90 минут в npm появилась вредоносная версия Bitwarden CLI. Версия 2026.4.0 содержала полезную нагрузку для кражи учетных данных, которая выполняла обфусцированный загрузчик и собирала токены AWS, Azure, GCP, GitHub и npm с любого компьютера разработчика, на котором выполнялась команда npm install. Злоумышленники получили доступ к пути публикации Bitwarden в npm через скомпрометированный GitHub […] — csoonline.com

Крупнейший реестр npm снова атакован вредоносным ПО, на этот раз целью стал инструмент визуализации данных AntV. Атака, использующая червя Mini-Shai-Hulud, скомпрометировала сотни пакетов, похищая токены и учетные данные. — csoonline.com

Атаки являются частью более широкой кампании под названием Mini Shai-Hulud, которая уже скомпрометировала ряд проектов с открытым исходным кодом, а также разработчиков и компании, которые их используют. — techcrunch.com