Sårbarheter och incidenter i leveranskedjan
Vi bevakar sårbarheter och incidenter i leveranskedjan som når mjukvarubyggen: bibliotek, körmiljöer, basavbilder, paketregister och CI-komponenter. Vi skriver om ett problem när det utnyttjas, finns i CISA KEV-katalogen, är klassat som kritiskt och används brett eller är en kompromettering av ett allmänt använt paket, och när vi kan verifiera det i primärkällor. Varje text beskriver vem som berörs, vilka versioner som rättar felet och hur du kontrollerar dina byggen, och den uppdateras när fakta ändras.
-
Shai-Hulud
Ingen CVE för incidenten som helhet; för delar av den: CVE-2026-45321
- CVSS 3.1 9,6
- Utnyttjas
- I CISA KEV
- Pågående
En självspridande mask som infekterar npm-paket, körs vid installation, stjäl inloggningsuppgifter för npm, GitHub och molnet och använder dem för att publicera infekterade versioner av fler paket.
npm
-
PHP2Shell
CVE-2026-109618, CVE-2026-109619
- CVSS 4.0 9,2
- Utnyttjas
- I CISA KEV
- Rättning finns
Två minnessäkerhetsbuggar i själva PHP låter en oautentiserad webbförfrågan köra kod på varje PHP-installation som hanterar webbförfrågningar.
PHP, Container images