Rust 生态遭供应链攻击 多个恶意包植入后门

安全研究员发现两个恶意 Rust 包 proc-macro1 v1.0.107 和 proc-macro-en v1.0.10，它们冒充广受欢迎的合法库 proc-macro2，通过构建脚本下载恶意载荷并植入 PowerShell 后门。随后 Rust 官方博客也披露了这起供应链攻击事件，确认热门库 arrayref 一度遭劫持并被注入恶意依赖。目前相关恶意版本已被删除或回退，攻击影响正在评估中。

2026-08-20 ~ 2026-08-21 · 2 条相关