Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

Sam SBOM nie pokazał zasięgu ataku Shai-Hulud na łańcuch dostaw

Na ISC2 Security Congress 2026 Deepam Kanjani z Atlassiana pokazał, jak złośliwa zależność ukryta trzy poziomy w głąb pakietu ominęła audyt zależności i SBOM.

Karta wpisu: Sam SBOM nie pokazał zasięgu ataku Shai-Hulud na łańcuch dostaw

Sam SBOM nie wystarczył, żeby ustalić zasięg ataku na łańcuch dostaw z udziałem robaka Shai-Hulud. Taki przypadek opisał Deepam Kanjani, menedżer bezpieczeństwa produktów w Atlassianie, na ISC2 Security Congress 2026 w Denver. Według niego obrońcy potrzebują wglądu w czasie rzeczywistym w kod działający na produkcji i w usługi, których dotyczy włamanie. Pakiet wyglądał wiarygodnie: miał zgodny skrót SHA i ponad 3400 gwiazdek na GitHubie. Trzy poziomy głębiej siedziała złośliwa zależność przechodnia o nazwie shai-hulud, której audyt zależności najwyższego poziomu nie pokazał. Alarm skanera behawioralnego zespół początkowo uznał za fałszywy, bo skrót się zgadzał.

Kogo dotyczy

Opisany incydent dotyczył dużego środowiska SaaS. Kanjani zaznaczył, że zmienił szczegóły identyfikujące, liczby i kolejność zdarzeń, ale techniki ataku oparł na prawdziwych wydarzeniach. Problem dotyczy firm, które polegają na samym wykazie składników oprogramowania i sprawdzają wyłącznie zależności bezpośrednie.

TAB. 2

Źródła

1
Dark Reading — SBOMs Alone Can't Reveal the Scope of a Supply Chain Attackdarkreading.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com