22. dubna 2026 se na npm největším repozitáři JavaScriptových balíčků krátce objevila nakažená verze Bitwarden CLI. Bitwarden je oblíbený správce hesel, jehož příkazová řádka (@bitwarden/cli) se hojně využívá v automatizovaných build procesech firem. Útočníci z hnutí zvaného TeamPCP ji dokázali zkompromitovat a do verze 2026.4.0 vložit škodlivý soubor bw1.js. Ten se spustil automaticky v momentě, kdy si vývojář balíček nainstaloval.
Malware toho stihl hodně: kradl GitHub tokeny, SSH klíče, přihlašovací údaje do AWS, Azure a GCP, historii shellu i proměnné prostředí. Ukradená data šifroval a odesílal na doménu, která se tvářila jako legitimní stránka Checkmarx. Pokud našel GitHub token, šel dál injektoval vlastní workflow do repozitářů a rozšiřoval se do dalších balíčků jako samoreplikující červ. Pro persistenci si upravil soubory ~/.bashrc a ~/.zshrc, takže přežil i restart.
Jak se to vůbec mohlo stát? Bitwarden ve svém CI/CD pipeline spoléhal na GitHub Action od Checkmarxu a ta byla kompromitována dřív, v rámci širší kampaně. Útočníci tak nepotřebovali proniknout přímo do Bitwarden infrastruktury. Stačilo jim nakazit nástroj, jemuž Bitwarden důvěřoval.
Malware byl dostupný necelých 95 minut a stáhlo ho přibližně 334 lidí. Bitwarden reagoval rychle kompromitovaný přístup zablokoval, verzi stáhl a vydal čistou 2026.4.1. Vault uživatelů zůstal nedotčen. Incident nicméně ukazuje jeden znepokojivý trend: útočníci čím dál víc míří na nástroje vývojářů a CI/CD pipeline, protože jeden kompromitovaný token jim otevře dveře do desítek dalších systémů.
Zdroj: https://thehackernews.com/2026/04/bitwarden-cli-compromised-in-ongoing.html
