keyv、cacheable 等 npm 快取套件遭挾持:安裝時竊取憑證,並自我擴散到數百個套件(Shai-Hulud / ChainDrop)

影響範圍

這不是程式寫錯的漏洞,而是套件本身被換成了惡意版本。所以沒有 CVE,也就沒有 NVD 的 CVSS 分數,也不在 CISA KEV 清單中(Snyk 自己的漏洞資料庫給 keyv 6.0.0 評了 CVSS 4.0 9.3 分);官方追蹤編號是 OSV 的 MAL- 編號與 GitHub 安全公告(GHSA),弱點類型為 CWE-506(內嵌惡意程式碼)。GitHub 公告的「修補版本」欄位是「無」:處理方式不是打修補,而是不要用那些版本。

第一批被直接污染的 11 個版本(Snyk、Aikido、Datadog 三方一致):

npm registry 的發布時間也顯示 ecto 5.0.0(2026-06-25)是 5.0.1 之前的版本。Endor Labs 給的通用原則是:釘選在 2026-08-04 09:30 UTC 之前發布的版本。

@keyv/ 轉接套件:來源說法不一。* OSV 與 GHSA 另把 19 個 @keyv/* 套件的 6.0.0 版列為惡意程式(例如 @keyv/redis 為 MAL-2026-12020、@keyv/compress-gzip 為 MAL-2026-12010),包括 @keyv/bigmap、@keyv/cloudflare-kv、@keyv/compress-brotli、@keyv/compress-gzip、@keyv/compress-lz4、@keyv/dynamo、@keyv/encrypt-node、@keyv/encrypt-web、@keyv/etcd、@keyv/memcache、@keyv/mongo、@keyv/mysql、@keyv/postgres、@keyv/redis、@keyv/serialize-msgpackr、@keyv/serialize-superjson、@keyv/sqlite、@keyv/test-suite、@keyv/valkey。npm registry 顯示這些 6.0.0 版在 2026-08-04 09:30–09:32 UTC 發布,比 keyv@6.0.0 早幾分鐘。Socket 也把它們列入時間軸,但表示這些版本不含 preinstall hook,因帳號遭入侵而應視為可疑,惡意程式本體只在上表的套件中確認;OSV 紀錄中附帶的 Amazon Inspector 分析(例如 @keyv/redis)也寫沒有發現安裝時執行或竊取憑證的行為。Chainguard 則表示 @keyv/* 轉接套件從未受影響。本頁無法判斷哪一方正確,建議保守處理:不要使用這些套件的 6.0.0 版(本頁建議)。

這些套件的下載量極大,依 Aikido 統計,keyv 每月約 6.04 億次、flat-cache 約 5.8 億次、file-entry-cache 約 5.71 億次、cacheable-request 約 1.37 億次、cacheable 約 3,000 萬次。

第二波:蠕蟲擴散。 惡意程式用偷來的 npm token 感染其他套件,各家統計不同(因為快照時間不同):

點名受影響的下游範圍包括 @ornikar/*、@onereach/*、@or-sdk/*、@servicetitan/*、@qlik/*、@picsart/*、@deliveroo/*。整體而言可以說:超過 400 個套件、遠超過 1,000 個版本。

誰可能中招(本頁推論,非來源明說): keyv 的惡意版是新的主版本 6.0.0,只允許 ^5.x 的專案不會自動裝到;但 flat-cache、file-entry-cache、cacheable-request、cache-manager 的惡意版都只是小修號,使用 ^ 或 ~ 範圍又在惡意版本還在時重新解析相依的專案,可能自動裝到。惡意版本在 2026-08-04 發布,但下游被感染的套件陸續發布到當天 13:18(SafeDep),私有 registry、鏡像或快取也可能保留已被 npm 移除的惡意版本,所以之後的安裝仍可能裝到;Snyk 因此建議從私有 registry 與快取清除這些版本。

前提是安裝時有執行安裝腳本。 惡意程式靠 preinstall 腳本啟動,OSV 要求把「以啟用安裝腳本的方式安裝過這個版本」的環境視為完全被入侵。用 --ignore-scripts 安裝,或用 npm v12(2026-07-08 正式推出,預設不執行相依套件的 preinstall、install、postinstall,除非明確核准)安裝時,這段程式不會被觸發。其他套件管理工具的預設行為本頁沒有查證。不過下面這條 IDE 設定檔的路徑不需要安裝。

另外,不用 npm install 也可能中招:開啟被植入 .claude/、.vscode/ 設定檔的程式庫也可能觸發執行,但來源對觸發條件說法不同。OSV 說開發者或 AI 程式助手開啟 clone 時就會執行載入器;Snyk 則說要開發者或程式助手信任並啟用專案層級的設定才會形成這條執行路徑,VS Code 視工作區信任與使用者設定可能會先詢問。

原理

1. 入口:維護者帳號。 攻擊者控制了維護者的 GitHub 帳號,但怎麼取得的目前未知。攻擊者把惡意檔案直接推到 main,之後重設並重播 git 歷史,掩蓋痕跡。

2. 專案自己的發布流程替攻擊者簽了名。 OSV 說攻擊者把惡意程式推進原始碼庫,再透過 GitHub Actions 發布,所以惡意版本帶著有效的簽章來源證明上了 npm;Snyk 表示 npm 資料把 GitHub Actions 列為 keyv@6.0.0 的 trusted publisher。Snyk 指出關鍵:來源證明只能證明「在哪裡、用什麼流程建置」,不能證明原始碼可信。

3. 安裝時自動執行。 攻擊者在 package.json 加了 preinstall 腳本,在 npm install 時、任何應用程式碼執行前,就跑起載入器 setup.mjs。它下載獨立的 Bun 執行環境(1.3.13),再執行約 728 KB 的混淆第二階段程式 Math_Symbol.js(又名 math_init.js)。Socket 與 Datadog 認為改用 Bun 可能是為了躲過只監控 Node.js 的工具。

4. 偷什麼。 雲端(AWS、GCP、Azure,含執行個體中繼資料)、GitHub 與 npm token、Kubernetes 服務帳號 token、HashiCorp Vault、SSH 金鑰、資料庫連線字串(SafeDep 表示會找內嵌帳密的 MongoDB、MySQL、PostgreSQL、Redis 網址)、Terraform 狀態、Docker 設定、Stripe 與 Slack token;Wiz 另提到加密貨幣錢包與 AI 工具(Claude、OpenAI、Cursor、Gemini)的憑證與設定;Datadog 表示在 Linux 上有 sudo 時會讀取 GitHub Actions runner 的記憶體。還有名為「Run Copilot」的 workflow 會把整個程式庫的秘密一次倒出。

5. 送去哪裡。 資料加密後送到攻擊者伺服器,伺服器清單從以太坊智慧合約查詢;備援方式是建立描述為「Shai-Hulud: Here We Go Again」的公開 GitHub 儲存庫(SafeDep 數到超過 1,000 個)。Datadog 指出伺服器回傳的內容會被當成程式執行,等於一個通用後門。

6. 怎麼擴散。 兩條路:用偷到的 npm token 把載入器塞進所有能發布的套件並重新發布(SafeDep 觀察到有組織以約每秒一個的速度發布);以及在能寫入的程式庫提交 .claude/settings.json(Claude Code 的 SessionStart hook)與 .vscode/tasks.json(runOn: folderOpen)。

7. 死人開關。 安裝 gh-token-monitor(macOS LaunchAgent 或 Linux systemd 使用者服務),每 60 秒檢查 GitHub,發現 token 被撤銷就執行攻擊者提供的處理程式(SafeDep、Snyk)。Wiz 表示這一版的死人開關會依攻擊者伺服器的回應選擇性啟用:伺服器可以回傳指令來啟用它,並指定要監控哪個 token。

有風險的安裝方式(概念示意,不是惡意程式碼):

# 在 CI 中用寬鬆版本範圍即時解析,並允許所有相依套件的安裝腳本執行
npm install

較安全的安裝方式(概念示意):

# 依 lockfile 安裝固定版本,且不執行任何相依套件的生命週期腳本
npm ci --ignore-scripts

{
  "overrides": {
    "keyv": "5.6.0",
    "flat-cache": "6.1.23",
    "file-entry-cache": "11.1.5",
    "cacheable-request": "13.0.19",
    "cache-manager": "7.2.9"
  }
}

(overrides 版本需依你的相依樹實際使用的主版本調整。)

時間軸

沒有 CVE 發布日,也沒有列入 CISA KEV。

延伸閱讀

• 評分: 沒有 CVE,因此沒有 NVD 分數。GitHub 將 keyv 公告標為 Critical(惡意程式);Snyk 的漏洞資料庫給 keyv 6.0.0 評了 CVSS 4.0 9.3 分(Critical)。
• 版本標註: Chainguard 撰文時對 file-entry-cache、cacheable、@cacheable/memory、@cacheable/node-cache 的版本標註為不確定。
• 尚未確認: 維護者帳號怎麼被入侵、npm 上各版本目前的狀態(本頁無法查證)、維護者本人的說明(未找到;keyv 儲存庫唯一相關 issue #2051 由第三方開立且已關閉)。
• 所屬攻擊系列: Datadog 與 CSA 稱此惡意程式為「ChainDrop」,屬 Shai-Hulud 家族;Wiz 認為它是「Mini Shai-Hulud」的後代,建立在 TeamPCP 公開的程式庫上,但沒有說這次是 TeamPCP 發動。SafeDep 則認為與先前事件的直接關聯尚未確認,「Here We Go Again」標記只暗示延續或共用基礎設施。
• 背景: 最早的 Shai-Hulud 於 2025-09-14 被發現,GitHub 移除了 500 多個套件並宣布強化 npm。2026-05-11 的 Mini Shai-Hulud / TanStack 事件由 Wiz 高度信心歸因於 TeamPCP,入口是 GitHub Actions 弱點鏈,與這次的帳號被接管不同。Chainguard 把 keyv 算作 2026 年同一工具組的第三波(4 月 PyTorch Lightning、5 月 @antv),但沒有列入 TanStack,所以「第幾波」依來源而定;4 月與 @antv 兩波本頁只有 Chainguard 一個來源。
• 相關弱點類型: CWE-506。