PostHog 官方 npm 套件遭植入 Shai-Hulud 2.0 蠕蟲:一個設定不當的 GitHub 工作流程,讓攻擊者拿到發布權杖

影響範圍

惡意程式在安裝時就會執行,不需要你的程式 import 或呼叫這些套件。只要開發機或 CI 執行了 npm install(或類似指令)、裝到下表或下方清單的版本、而且允許安裝腳本執行,就應視為受影響。最可能的時段是 2025-11-24 04:04 UTC 起到惡意版本被刪除前(PostHog 說 09:30 UTC 前已刪除);PlainCVE 的判斷是:如果 lockfile 已經寫進惡意版本,或本機快取、公司內部的套件鏡像留有副本,之後重新安裝仍可能裝回來,所以也應一併檢查。來源沒有直接說明這種情況,但 PostHog 的檢討報告與 issue 都建議刪除快取的相依套件。

PostHog 檢討報告只列出「最相關」的套件。OSV 另外把以下 PostHog 套件列為惡意(本頁 2026-09-28 查詢 OSV 整理,每個套件都有自己的 MAL 編號,可在 osv.dev 以套件名稱搜尋;PostHog 沒有逐一指名安全版本):

• @posthog/clickhouse 1.7.1、@posthog/hedgehog-mode 0.0.42、@posthog/icons 0.36.1、@posthog/lemon-ui 0.0.1、@posthog/nextjs-config 1.5.1、@posthog/nuxt 1.2.9、@posthog/piscina 3.2.1、@posthog/plugin-contrib 0.0.6、@posthog/plugin-server 1.10.8、@posthog/rrweb 0.0.31、@posthog/rrweb-player 0.0.31、@posthog/rrweb-record 0.0.31、@posthog/rrweb-replay 0.0.19、@posthog/siphash 1.1.2、@posthog/web-dev-server 1.0.5
• 以下 30 個外掛套件的 0.0.8 版:@posthog/automatic-cohorts-plugin、@posthog/bitbucket-release-tracker、@posthog/currency-normalization-plugin、@posthog/customerio-plugin、@posthog/databricks-plugin、@posthog/drop-events-on-property-plugin、@posthog/event-sequence-timer-plugin、@posthog/filter-out-plugin、@posthog/first-time-event-tracker、@posthog/geoip-plugin、@posthog/github-release-tracking-plugin、@posthog/gitub-star-sync-plugin、@posthog/heartbeat-plugin、@posthog/ingestion-alert-plugin、@posthog/intercom-plugin、@posthog/kinesis-plugin、@posthog/laudspeaker-plugin、@posthog/migrator3000-plugin、@posthog/netdata-event-processing、@posthog/pagerduty-plugin、@posthog/plugin-unduplicates、@posthog/postgres-plugin、@posthog/sendgrid-plugin、@posthog/snowflake-export-plugin、@posthog/taxonomy-plugin、@posthog/twilio-plugin、@posthog/twitter-followers-plugin、@posthog/url-normalizer-plugin、@posthog/variance-plugin、@posthog/zendesk-plugin

上述 56 個套件的惡意版本,npm registry 記錄的發布時間都在 2025-11-24 04:04 至 04:13 UTC 之間,目前都已不在 npm 的版本清單中。本頁的查詢是以 npm 上名稱含 posthog 的套件為範圍,不保證完整。

其他要點:

• PostHog 檢討報告表示,發現攻擊後發布的最新版本都是已知安全(known-good)的版本;惡意版本已從 npm 刪除並由新版取代。安全版本清單見上表。
• 刪除時間:PostHog 說 09:30 UTC 前已找出並刪除惡意套件;不過 npm registry 記錄 posthog-docusaurus 最後修改於 09:57 UTC、posthog-plugin-hello-world 最後修改於 14:11 UTC。registry 沒有直接記錄刪除時間,所以不能確定每個套件都在 09:30 前下架。
• 惡意版本的發布時間:PostHog 檢討報告寫 04:11 UTC;npm registry 的紀錄顯示 posthog-node 5.11.3 在 04:04 UTC、5.13.3 在 04:09 UTC、4.18.1 在 04:13 UTC 發布。本頁以 04:04 作為可能受影響時段的起點。
• PostHog 表示不知道有客戶正式環境用到惡意版本。
• 安裝時不執行生命週期腳本的環境(例如 pnpm 10 預設不跑相依套件的安裝腳本)暴露程度較低。
• Wiz 在它掃描的環境中,有 25% 用了 posthog-node、15% 用了 posthog-js。這代表套件普及程度,不是實際感染數。

原理

這起事件有兩層:PostHog 自己怎麼被攻破,以及惡意套件對安裝者做了什麼。

第一層:一個「pwn request」讓攻擊者拿到發布權杖

GitHub Actions 的 pull_request_target 觸發方式,會用主程式庫的身分執行,帶著密鑰與寫入權限。它原本的用意是讓工作流程的「定義」來自受信任的主分支。問題在於,如果工作流程接著又去取出並執行外部 PR 裡的程式,那段陌生程式就拿到了同樣的權限。GitHub Security Lab 把這種錯誤稱為「pwn request」。

PostHog 在 2025-09-11 合併的工作流程就是這樣:它用 pull_request_target,同時執行 PR 裡的一支指派審查者腳本。PostHog 在檢討報告中承認,開發者誤以為 pull_request_target 會保護被執行的程式;實際上它只決定工作流程定義從哪裡讀取。

事件經過(概念說明):

1. 攻擊者開了一個惡意 PR,程式在受信任的 CI 環境中執行。
2. 這段程式偷走一個機器人帳號的 GitHub 個人存取權杖(PAT)。
3. 攻擊者用它修改工作流程,把程式庫所有密鑰倒出來,其中包括 npm 發布權杖。
4. 攻擊者用 npm 權杖發布了植入蠕蟲的套件版本。

有問題的模式(概念示意,不是 PostHog 的原始設定):

on: pull_request_target        # 以主程式庫權限與密鑰執行
jobs:
  assign:
    steps:
      - uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.head.sha }}  # 取出外部 PR 的程式
      - run: node scripts/assign-reviewers.js            # 執行 PR 裡的程式 → 拿到密鑰

較安全的模式:

on: pull_request               # 外部 PR 在無密鑰、唯讀權限下執行
permissions:
  contents: read
jobs:
  check:
    steps:
      - uses: actions/checkout@v4
      - run: node scripts/check.js
# 需要寫入權限的後續動作,放到另一個由 workflow_run 觸發、只處理結果、不執行 PR 程式的工作流程

第二層:Shai-Hulud 2.0 蠕蟲做了什麼

以下整理自各研究報告,本頁沒有開啟任何套件檔或惡意程式:

• 安裝時啟動:preinstall 腳本(setup_bun.js)先安裝 Bun 這個 JavaScript 執行環境,再執行大型混淆程式 bun_environment.js。Datadog 指出改用 Bun 有助於躲開只監控 Node.js 的工具。
• 竊取憑證:PostHog 表示它用開源工具 TruffleHog 搜尋執行環境中的各種憑證。依 Datadog 與 StepSecurity,它還會蒐集 GitHub 權杖、npm 權杖、環境變數,以及 AWS、GCP、Azure 的雲端憑證與密鑰管理服務內容;Wiz 統計整波攻擊外洩的憑證中有數百組雲端憑證。
• 公開貼出:用受害者自己的權杖建立新的公開 GitHub 程式庫,把偷到的資料貼上去。Wiz 還看到某位受害者的密鑰被貼在無關使用者的帳號下。
• 留下後門:註冊名為 SHA1HULUD 的自架 GitHub Actions runner,並加入 .github/workflows/discussion.yaml。這個工作流程會監聽新建立的 GitHub Discussion,攻擊者只要在受害程式庫開一則新的 Discussion、把指令寫在內文裡,就能讓指令在這台被註冊為 runner 的機器上執行。
• 自我擴散:拿到 npm 權杖後,感染受害者維護的最多 100 個套件(依 Aikido,第一波上限是 20 個)。
• 破壞:依 Aikido 與 Datadog,若既偷不到憑證也無法擴散,會嘗試清空使用者家目錄;StepSecurity 也描述了在 Linux 上覆寫檔案以抹除痕跡的行為。
• 其他:在 CI 中立刻執行,在開發機上則在背景執行;也會嘗試透過特權掛載逃出 Docker 容器。

這對應 CWE-506(嵌入惡意程式碼)。

時間軸

延伸閱讀

• 評分:本事件沒有 CVE,也沒有 NVD 評分。GitHub 對 @posthog/core 的公告不給 CVSS 分數,只標示為 Critical (Malware);GitLab 對 posthog-js 給出 CVSS 3.1 8.6(AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H)。由於這是另一個套件的評分,本頁的嚴重度欄位留空。
• 來源不一致之處:
  • 受影響套件的範圍:PostHog 檢討報告只列「最相關」的 8 個套件(共 10 個版本),issue 另列 @posthog/wizard,合計 9 個;OSV 列出 56 個 PostHog 套件,包括 @posthog/core、posthog-react-native 4.12.5、posthog-plugin-hello-world 等。
  • 刪除時間:PostHog 說 09:30 UTC 前,npm registry 上 posthog-docusaurus 與 posthog-plugin-hello-world 的最後修改時間分別是 09:57 與 14:11 UTC。
  • 惡意版本的發布時間:PostHog 檢討報告寫 04:11 UTC,npm registry 紀錄 posthog-node 5.11.3 早在 04:04 UTC 就已發布。
  • 整波攻擊的規模:Aikido 算 492 個套件;Datadog 算 796 個(並稱是下限);Wiz 估約 700 至 800 個,另統計外洩了 775 個 GitHub 權杖以及 373 組 AWS、300 組 GCP、115 組 Azure 憑證;StepSecurity 早期算超過 70 個;PostHog 的 issue 寫「超過 300 個」。
  • 攻擊者程式庫的描述字樣:StepSecurity 與 Aikido 記為「Sha1-Hulud: The Second Coming」。Wiz 另外記錄,11/25 22:45 UTC 觀察到一個可能的第二階段(用第一階段偷到的憑證,把單一受害者的私有程式庫公開),這個階段用的描述是「Sha1-Hulud: The Continued Coming」。
  • Wiz 認為第二波沿用第一波的名稱與手法,但幕後可能是不同的人。
• PostHog 在這波攻擊中的位置:PostHog 是因為自己的 CI 設定錯誤而被攻破,不是因為維護者裝到感染的套件。Datadog 認為這是攻擊者多種入侵途徑之一。一旦惡意版本發布,PostHog 的套件就成了感染其他維護者的媒介。
• npm 的背景:這波攻擊發生在 npm 預定 2025-12-09 撤銷傳統權杖之前不久。GitHub 在 2025 年 9 月公布的計畫包括:淘汰傳統權杖、細粒度權杖最多有效 7 天、推行 trusted publishing、本機發布強制 2FA 並以 FIDO 金鑰取代一次性密碼。
• AI 相關性:雖然有兩個受影響套件名稱是 @posthog/ai 與 @posthog/agent,但沒有來源顯示這次攻擊本身與 AI 有關,本頁不做此推論。
• 未能確認:GitHub 是否有 posthog-node 與 posthog-js 的 GHSA 公告;惡意版本上架期間被下載了幾次;CISA 關於第一波 Shai-Hulud 的警示內容(該頁面無法讀取,本頁未使用)。