O registro npm realizou uma ação urgente e desativou todos os tokens de acesso granular com permissão de escrita que contornam a autenticação de dois fatores (2FA), devido a ataques à cadeia de suprimentos que ameaçavam milhares de desenvolvedores. Isso ocorreu após uma campanha maliciosa conhecida como Shai-Hulud.
Detalhes Técnicos
Shai-Hulud: É um verme de cadeia de suprimentos, primeiro relatado em setembro de 2025, que se espalha por meio de repositórios de código, incluindo GitHub e pacotes NPM. Ele explora dependências de pipeline de CI/CD para se propagar às vítimas e envenena a cadeia de suprimentos publicando pacotes maliciosos.
Ameaça: A Shai-Hulud publica pacotes maliciosos no npm, explorando tokens de acesso com permissão de escrita que contornam a 2FA.
Ação Corretiva: O npm invalidou todos os tokens de acesso granular com permissão de escrita que contornam a 2FA, forçando os mantenedores a gerar credenciais novas e atualizar todos os fluxos de trabalho automatizados.
