SecureChain para software de código aberto

Pontos-chave: Um aumento na versão não é um patch, e atualizações de dependências podem introduzir alterações que podem causar falhas. Atualizações forçadas podem falhar de forma evidente na fase de compilação ou introduzir regressões mais sutis durante a execução...

Pontos-chave: Os hashes do módulo Go abrangem nomes e conteúdos de arquivos, e não a codificação zip; portanto, um arquivo compactado reconstruído de forma independente pode corresponder exatamente. Por isso, ao apontar o GOPROXY para um registro filtrado...

A versão resumida Ir para a versão completa ↓ O que aconteceu: Em 20 de agosto de 2026, um invasor utilizou a conta de um mantenedor legítimo no crates.io para publicar versões maliciosas do arrayref 0.3.10, do append-only-vec...

Pontos principais: Um proxy do módulo Go foi criado para servir arquivos, não para avaliar se esses arquivos são seguros para serem executados. Um único caractere na sua string GOPROXY determina se um...

Principais conclusões: O Go identifica um pacote pelo local onde ele está armazenado, e não pelo nome de um usuário, de modo que um nome de usuário do GitHub que tenha expirado pode se tornar um problema na cadeia de suprimentos em...

Pontos principais: Um repositório PyPI privado explica de onde vêm os pacotes, mas não se é seguro instalá-los. Adicionar –extra-index-url em vez de definir –index-url para um único índice reabre a brecha...

Principais conclusões: O PHP divulga as datas de fim de vida útil com anos de antecedência, enquanto os pacotes do Composer não anunciam nada quando um mantenedor deixa de dar notícias. Uma dependência abandonada costuma ser o motivo pelo qual um PHP...

Principais conclusões: O Hades incluiu ganchos de inicialização .pth, de modo que a carga útil era acionada toda vez que o Python era iniciado, em vez de apenas uma vez durante a instalação. O mesmo truque já havia sido implementado no LiteLLM há onze semanas...

Principais conclusões: As versões maliciosas do axios ficaram ativas por apenas cerca de três horas; portanto, as instalações realizadas antes da detecção não receberam proteção das defesas baseadas em alertas. O número de downloads mede a adoção, não...

Principais conclusões: Seis campanhas confirmadas contra a cadeia de suprimentos atingiram o npm, o PyPI, os módulos Go e o Packagist entre março e julho de 2026. Nenhuma delas precisou de um bug no código de aplicação de ninguém, apenas...

Principais conclusões: A maioria das ferramentas de segurança da cadeia de suprimentos de software informa o que já foi incluído na sua compilação, e muito menos delas impedem que isso aconteça desde o início. O...