Une compromission significative de la chaîne d'approvisionnement npm, surnommée Shai-Hulud, a été révélée en septembre 2025. Plus de 500 packages npm ont été affectés par ce malware auto-propagateur. L'attaque utilise le vol d'identifiants et la publication automatisée de packages pour se propager. Elle exploite des vulnérabilités connues telles que les scripts postinstall et les compromissions de plateformes CI/CD.Le malware a probablement commencé par exécuter un fichier malicious bundle.js via un script postinstall après l'installation du package. Ce script a ensuite scanné et collecté des secrets à l'aide d'outils comme TruffleHog. Les identifiants volés ont été utilisés pour publier le malware dans d'autres dépôts, transformant les systèmes compromis en nouveaux vecteurs d'infection. GitHub Actions a été particulièrement abusé pour la trojanisation automatisée, une tactique déjà observée auparavant.L'impact inclut plus de 500 packages compromis et la compromission potentielle du compte npm de CrowdStrike. GitHub et la CISA ont publié des avis concernant cet incident. Pour l'atténuation, les utilisateurs npm devraient auditer et remplacer les packages compromis, verrouiller les dépendances à l'aide de package-lock.json, et envisager des miroirs internes. La désactivation des scripts postinstall lorsque cela est possible est également conseillée. Les développeurs devraient faire pivoter les identifiants exposés et appliquer les principes du moindre privilège dans les environnements CI/CD.