Bitwarden CLI 遭供应链投毒
推荐指数 61.0 NO. 015 · 2026.04.24
发布2026/04/23Score420Comments199
为什么值得看
密码管理器 Bitwarden 的 CLI 包 @bitwarden/cli@2026.4.0 被植入恶意代码，攻击者通过入侵 GitHub Actions 实现供应链攻击。1000万用户和5万企业受影响，使用 CLI 版本的企业需立即审计部署。
编辑判断
这次攻击的精妙之处在于目标选择：CLI 工具比 GUI 更难被普通用户注意到异常，且企业自动化部署场景往往赋予更高权限。攻击者专门挑 npm 包中的 bw1.js 下手，说明对 Bitwarden 构建产物结构有深入研究，不是广撒网式攻击。
值得警惕的是，这是 Checkmarx 披露的同一波 GitHub Actions 入侵系列的最新受害者，此前已有多家开源项目中招但未被公开命名。如果你的团队也在用 GitHub Actions 做 npm 发布，建议立即检查：是否有长期未轮换的 GH_TOKEN、是否启用了 OIDC 而非静态凭证、是否对发布包做了签名验证。这三项里缺任意一项，都可能成为下一个目标。