AnswersPublished30 sources
מתקפת שרשרת האספקה של npm: תולעת Shai-Hulud התפשטה ליותר מ-1,280 חבילות
ב 4 באוגוסט 2026 השתלטו תוקפים על חשבון GitHub של jaredwray, מתחזק חבילות keyv ו cacheable, והחדירו תולעת גונבת הרשאות — גרסה של Mini Shai Hulud, המכונה גם ChainDrop. התולעת התפשטה בתוך שעות ליותר מ 1,280 חבילות npm, עם היקף הורדות משולב של כ 2 מיליארד בחודש, באמצעות שימוש באסימוני פרסום של npm ובהרשאות GitHub שנגנבו.
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
Research answer
Key takeaways
- ב 4 באוגוסט 2026 השתלטו תוקפים על חשבון GitHub של jaredwray, מתחזק חבילות keyv ו cacheable, והחדירו תולעת גונבת הרשאות — גרסה של Mini Shai Hulud, המכונה גם ChainDrop.
- התולעת התפשטה בתוך שעות ליותר מ 1,280 חבילות npm, עם היקף הורדות משולב של כ 2 מיליארד בחודש, באמצעות שימוש באסימוני פרסום של npm ובהרשאות GitHub שנגנבו.
- כל מחשב או שרת CI/CD שהריץ npm install על גרסה נגועה צריך להיחשב כפשרה מלאה: יש לבטל ולהנפיק מחדש סודות, לנקות מטמונים ולבנות מחדש את הארטיפקטים מסביבה נקייה.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the Shai-Hulud worm attack on the npm ecosystem on August 4, 2026, including how the attackers compromised the GitHub a. Article summary: On August 4, 2026, attackers compromised the GitHub account of **jaredwray** (maintainer of `keyv`, `flat-cache`, `file-entry-cache`, and the `cacheable` family) and pushed a self-propagating credential-stealing worm — a. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
מה קרה ב-4 באוגוסט?
ב-4 באוגוסט 2026 נחשפה אחת ממתקפות שרשרת האספקה החמורות ביותר שנראו באקוסיסטם של JavaScript. התוקפים השתלטו על חשבון ה-GitHub של Jared Wray, הידוע בשם המשתמש jaredwray — המתחזק של keyv, flat-cache, file-entry-cache ומשפחת ספריות המטמון cacheable — והפיצו דרכו תולעת שמסוגלת לגנוב הרשאות ולהעתיק את עצמה לחבילות נוספות.
הנוזקה זוהתה כגרסה של Mini Shai-Hulud, ולעיתים כונתה ChainDrop. לפי הדיווחים, היא הגיעה ליותר מ-1,280 חבילות npm, עם היקף הורדות משולב של כ-2 מיליארד בחודש .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "מתקפת שרשרת האספקה של npm: תולעת Shai-Hulud התפשטה ליותר מ-1,280 חבילות"?
ב 4 באוגוסט 2026 השתלטו תוקפים על חשבון GitHub של jaredwray, מתחזק חבילות keyv ו cacheable, והחדירו תולעת גונבת הרשאות — גרסה של Mini Shai Hulud, המכונה גם ChainDrop.
What are the key points to validate first?
ב 4 באוגוסט 2026 השתלטו תוקפים על חשבון GitHub של jaredwray, מתחזק חבילות keyv ו cacheable, והחדירו תולעת גונבת הרשאות — גרסה של Mini Shai Hulud, המכונה גם ChainDrop. התולעת התפשטה בתוך שעות ליותר מ 1,280 חבילות npm, עם היקף הורדות משולב של כ 2 מיליארד בחודש, באמצעות שימוש באסימוני פרסום של npm ובהרשאות GitHub שנגנבו.
What should I do next in practice?
כל מחשב או שרת CI/CD שהריץ npm install על גרסה נגועה צריך להיחשב כפשרה מלאה: יש לבטל ולהנפיק מחדש סודות, לנקות מטמונים ולבנות מחדש את הארטיפקטים מסביבה נקייה.