Mini Shai‑Hulud: Khi một “con sâu” chuỗi cung ứng lan khắp npm và PyPI

TanStack – mục tiêu lớn nhất

Một trong những hệ sinh thái bị ảnh hưởng nặng nhất là TanStack, bộ thư viện JavaScript được sử dụng rộng rãi trong các ứng dụng web hiện đại.

Chỉ trong vài phút, kẻ tấn công đã phát hành 84 phiên bản độc hại trong 42 package @tanstack/* thông qua pipeline phát hành hợp pháp của dự án.

Khi lập trình viên cài đặt các phiên bản này, mã độc sẽ được kích hoạt thông qua hook của npm và tải xuống payload đánh cắp thông tin đăng nhập.

Sau đó chiến dịch lan rộng rất nhanh:

• Hơn 170 package trên npm và PyPI bị ảnh hưởng
• 403 phiên bản độc hại được phát hiện trong đợt lớn nhất
• Các hệ sinh thái liên quan đến UiPath, Mistral AI, OpenSearch và Guardrails AI cũng bị tác động

Điều này khiến Mini Shai‑Hulud trở thành một trong những sự cố chuỗi cung ứng mã nguồn mở lớn nhất năm 2026.

Cách mã độc hoạt động

Các package bị nhiễm lợi dụng hook tiêu chuẩn của trình quản lý package (ví dụ preinstall) để chạy mã khi lập trình viên cài đặt.

Sau khi chạy, malware cố gắng thu thập credential từ hệ thống, bao gồm:

• GitHub personal access token
• npm publish token
• thông tin truy cập cloud (AWS, Azure, GCP)
• Kubernetes secrets
• token HashiCorp Vault
• biến môi trường CI/CD
• khóa SSH và file cấu hình của lập trình viên

Những credential này có thể được dùng để xâm nhập thêm repository và phát hành nhiều package nhiễm độc hơn, giúp sâu tự lan qua hạ tầng phát triển phần mềm.

Hai thiết bị của nhân viên OpenAI bị ảnh hưởng ra sao

Trong chiến dịch này, các package TanStack bị nhiễm đã được cài đặt trên hai thiết bị của nhân viên OpenAI trong môi trường doanh nghiệp.

OpenAI cho biết kẻ tấn công đã thực hiện truy cập trái phép và hoạt động đánh cắp credential trên các hệ thống đó. Tuy nhiên, cuộc điều tra nội bộ cho thấy:

• Không có bằng chứng dữ liệu khách hàng bị truy cập
• Chỉ một lượng nhỏ credential có khả năng bị lộ

Các báo cáo công khai hiện chưa nêu rõ chuỗi lây nhiễm cụ thể hoặc phiên bản package TanStack nào gây ra sự cố.

Vì sao OpenAI thay đổi chứng chỉ ứng dụng macOS

Sau sự cố, OpenAI cập nhật hướng dẫn cho các tổ chức sử dụng allowlist ứng dụng macOS.

Công ty xác nhận rằng identity ký ứng dụng Apple Developer của các app macOS đã được thay đổi trong quá trình phản ứng với sự cố.

Những điểm quan trọng cho quản trị viên:

• Apple Developer Team ID vẫn giữ nguyên: 2DC432GLL2
• Nếu allowlist theo Team ID, có thể không cần thay đổi
• Nếu kiểm tra certificate fingerprint hoặc tên tổ chức ký, cần cập nhật cấu hình

Các tổ chức nên đảm bảo hệ thống tin cậy identity ký mới của OpenAI thay vì các chứng chỉ cũ.

Tác động rộng hơn tới npm và PyPI

Sự cố này cho thấy một rủi ro lớn trong phát triển phần mềm hiện đại: pipeline phát hành tự động có thể trở thành mục tiêu tấn công.

Khác với các vụ chuỗi cung ứng trước đây vốn dựa vào việc đánh cắp tài khoản maintainer, Mini Shai‑Hulud khai thác:

• pipeline CI/CD tự động
• trusted publishing identity
• mô hình tin cậy của các package registry

Kết quả là các phiên bản độc hại có thể trông hoàn toàn hợp lệ và lan nhanh trong hệ sinh thái.

Đến cuối đợt tấn công lớn nhất:

• 170+ package trên npm và PyPI bị xâm nhập
• hàng trăm phiên bản độc hại được phát hành
• nhiều hệ sinh thái lập trình bị ảnh hưởng tạm thời

Lập trình viên và người dùng OpenAI nên làm gì

1. Kiểm tra dependency cài đặt trong khoảng 11–12/5/2026

Hãy rà soát các build hoặc dependency được cài đặt trong thời gian các phiên bản TanStack độc hại xuất hiện.

2. Gỡ và cài lại package

Nếu từng cài phiên bản bị nhiễm:

• gỡ dependency
• cài lại phiên bản an toàn
• rebuild dự án từ nguồn sạch

3. Xoay vòng credential

Do malware nhắm tới credential, nên thay mới:

• GitHub token
• token publish npm/PyPI
• credential cloud
• secret trong CI/CD

4. Kiểm tra pipeline GitHub Actions

Các dự án nên rà soát pipeline phát hành và đảm bảo OIDC trusted publishing được cấu hình chặt chẽ.

5. Cập nhật allowlist macOS cho ứng dụng OpenAI

Các tổ chức sử dụng app desktop của OpenAI cần xác nhận rằng chính sách macOS tin cậy identity ký mới của ứng dụng.

Bài học cho bảo mật chuỗi cung ứng

Mini Shai‑Hulud cho thấy các cuộc tấn công hiện đại ngày càng nhắm vào hạ tầng phát triển phần mềm thay vì hệ thống sản xuất trực tiếp.

Khi pipeline build hoặc phát hành bị xâm nhập, kẻ tấn công có thể phát tán mã độc thông qua các dependency vốn được cộng đồng tin tưởng.

Đáng chú ý hơn, sự cố này cũng cho thấy một thực tế mới: ngay cả các package có chứng thực build hợp lệ và chữ ký phát hành chính thống vẫn có thể chứa mã độc nếu pipeline phía sau đã bị chiếm quyền.

Với các đội ngũ phụ thuộc nhiều vào nguồn mở, việc giám sát thay đổi dependency, cô lập môi trường build và xoay vòng credential nhanh sau sự cố đã trở thành yêu cầu thiết yếu của bảo mật phần mềm.