社区盘点「黑色十月」：十余起供应链攻击连环爆发
burny_tech · x · 2026-10-22
安全社区把近期连环供应链攻击称为「黑色 October」,一口气列出十余起事件:
- npm/PyPI/Docker 投毒:TensorLake 的 npm 包被感染、LiteLLM 的 PyPI 与 Docker 官方发布含恶意代码、SubQuery 的 npm 包被植入后门
- 基础设施失守:Zeabur 基础设施被入侵、OVHcloud CLI 官方二进制被植入后门、Railway 客户密钥泄露
- AI 工具中招:OpenCode 泄露 AI API keys、GhostAction 通过恶意 GitHub workflow 攻击仓库(与 Shai-Hulud/ChainDrop 活动相关)
- 更高危的:eMudhra 证书颁发机构密钥被攻破(波及 Tailscale)、ConnectWise 云备份身份泄露、RankMath PRO 官方插件内含恶意软件
发帖人感叹「三分之一个互联网都完蛋了」。这是近年罕见的一日内多起官方渠道被投毒的集中爆发。
所属事件:安全圈遭遇「黑色十月」：十余项目连环爆发高危漏洞(16 条相关)→
「安全」频道最新
- 银行圈警告:AI 进化速度成美国金融机构安全噩梦 — kimmonismus · 2026-10-22
- 你对 AI 说的未发表创意,可能一年后被竞争对手问出来 — _akpiper · 2026-10-22
- AI 网络攻防只是老军备竞赛的延续，别被吓人标题带偏 — ziv_ravid · 2026-10-22
- PHP 漏洞线程结尾：开源模型将是安全防御的核心支柱 — ziv_ravid · 2026-10-22
- Axios 独家：美国大行发现客户账户内潜伏未授权第三方 AI 代理 — daniel_mac8 · 2026-10-22
- Koopman 演讲谈边缘案例：agent 系统的信任在极端场景见真章 — DavidLinthicum · 2026-10-22