墓碑科技(@mubeitech):每周被下载 110 万次的开源基础包，被系统标记为已知恶意软件。它的供应链安全评分直接归零。这是一个名叫“迷你沙虫”（Mini Shai-Hulud）的代码蠕虫。它近期在开源代码库里完成了大面积感染。受害者名单里全是高频组件。阿里巴巴的数据可视化套件 antv，数百个包被植入恶意代码。前端常用的 echarts-for-react、timeago.js 等工具也无一幸免。单是 echarts-for-react 这一项，每周的装机量就高达 110 万次。起因是一个普通开发者账号失守。用户名 atool 的账号被盗取了权限。黑客接管后，往这些底层组件里塞进了混淆的恶意代码。带毒的 3.2.7 版本发布仅仅 19 分钟，漏洞扫描就全红了。现代软件工业的底层其实非常脆弱。无数估值百亿的科技公司，底层都依赖着这些靠个人维护的开源轮子。只要一个邮箱的密码被攻破，几百万个下游项目的安全大门就会被同时撬开。

2026.05.19 11:20

每周被下载 110 万次的开源基础包，被系统标记为已知恶意软件。它的供应链安全评分直接归零。这是一个名叫“迷你沙虫”（Mini Shai-Hulud）的代码蠕虫。它近期在开源代码库里完成了大面积感染。受害者名单里全是高频组件。阿里巴巴的数据可视化套件 antv，数百个包被植入恶意代码。前端常用的 echarts-for-react、timeago.js 等工具也无一幸免。单是 echarts-for-react 这一项，每周的装机量就高达 110 万次。起因是一个普通开发者账号失守。用户名 atool 的账号被盗取了权限。黑客接管后，往这些底层组件里塞进了混淆的恶意代码。带毒的 3.2.7 版本发布仅仅 19 分钟，漏洞扫描就全红了。现代软件工业的底层其实非常脆弱。无数估值百亿的科技公司，底层都依赖着这些靠个人维护的开源轮子。只要一个邮箱的密码被攻破，几百万个下游项目的安全大门就会被同时撬开。