GitHub 蠕蟲入侵 npm 套件波及每週 16M 下載量

一種會自我複製的蠕蟲透過劫持 GitHub Actions 流水線，發布惡意 npm 套件再度出現，受影響包括 AntV、echarts-for-react 及微軟 durabletask SDK。被稱為「Mini Shai-Hulud」的攻擊利用 GitHub Actions 觸發工作流程，令受感染套件看起來能通過常見安全檢查。最新一波攻擊涉及超過 300 個惡意套件版本，影響範圍合計每週下載量估算約 16 million。該行動被歸因於威脅組織 Team PCP。