به خطر افتادن CLI بیت‌واردن در کمپین زنجیره تأمین چک‌مارکس

ابزار خط فرمان Bitwarden (Bitwarden CLI) در جریان یک حمله زنجیره تأمین (supply chain attack) در حال گسترش موسوم به کمپین Checkmarx به خطر افتاد. بر اساس یافته‌های شرکت‌های امنیتی JFrog و Socket، نسخه آلوده `@bitwarden/[email protected]` در تاریخ ۲۲ آوریل ۲۰۲۶ بین ساعت ۵:۵۷ تا ۷:۳۰ بعدازظهر (به وقت شرقی آمریکا) از طریق مخزن npm توزیع شد. کد مخرب از طریق سوءاستفاده از یک GitHub Action آسیب‌دیده در خط لوله CI/CD بیت‌واردن تزریق شده و قادر بود توکن‌های GitHub و npm، کلیدهای SSH، متغیرهای محیطی (.env)، تاریخچه پوسته (shell history) و اسرار سرویس‌های ابری را سرقت کرده و به دامنه‌های خصوصی و مخازن GitHub ارسال کند. محقق امنیتی عدنان خان اعلام کرد که این احتمالاً اولین باری است که یک بسته با قابلیت انتشار معتمد npm (NPM trusted publishing) به خطر افتاده است.

بیت‌واردن این رویداد را تأیید کرد، اما تأکید نمود که هیچ داده‌ای از کاربران نهایی در معرض خطر قرار نگرفته و یکپارچگی کدپایه اصلی CLI و داده‌های ذخیره‌شده در صندوق‌های رمز (vault) حفظ شده است. دسترسی‌های به خطر افتاده بلافاصله لغو و نسخه مخرب از npm حذف شد. شرکت OX Security با شناسایی رشته «Shai-Hulud: The Third Coming» در بسته آلوده، این حمله را مرحله جدیدی از یک کمپین زنجیره تأمین گسترده‌تر دانست که از سال گذشته آغاز شده است. گروه تهدید TeamPCP به عنوان عامل احتمالی این حمله معرفی شده و حساب کاربری این گروه در پلتفرم X به دلیل نقض قوانین تعلیق شده است. یک شناسه آسیب‌پذیری (CVE) برای نسخه ۲۰۲۶.۴.۰ در حال صدور است.