NPM | Blognone

Nicer Package Manager

Red Hat ถูกแฮก GitHub คนร้ายปล่อยแพ็กเกจฝังมัลแวร์เข้า npm

By lew

on 2 June 2026 - 01:34 Tag: Red Hat, Security, Hacking, GitHub, NPM

Red Hat

Wiz บริษัทความปลอดภัยซอฟต์แวร์รายงานแพ็กเกจ npm ของ Red Hat ในกลุ่ม @redhat-cloud-services จำนวน 32 แพ็กเกจถูกฝังมัลแวร์ โดยล่าสุดทีมงาน Red Hat ถอนแพ็กเกจเหล่านี้ออกเกือบหมดแล้ว

มัลแวร์ที่ฝังมาเป็นกลุ่ม Shai-Hulud ที่มุ่งขโมยกุญแจ API ของเหยื่อ เช่น กุญแจ Google Cloud, Azure

แพ็กเกจ npm และ PyPI หลายตัวถูกฝังมัลแวร์ Mini Shai-Hulud ผ่าน GitHub Actions

By mk

on 12 May 2026 - 19:46 Tag: Security, NPM, PyPy, Mistral, UiPath, OpenSearch, Hacking, GitHub

Security

บริษัทความปลอดภัย Socket ประกาศตรวจพบว่าแพ็กเกจซอฟต์แวร์ชื่อดังหลายตัวในระบบ npm และ PyPI โดนฝัง มัลแวร์กลุ่ม Mini Shai-Hulud ที่เคยอาละวาดช่วงปลายปี 2025 (ตั้งชื่อตามหนอนยักษ์ในเรื่อง Dune) และก่อนหน้านี้เพิ่งเคยเจาะแพ็กเกจ npm ตัวอื่นคือ SAP, Intercom กับแพ็กเกจ PyPI lightning เมื่อช่วงปลายเดือนเมษายน 2026

แพ็กเกจที่พบมัลแวร์ เป็นซอฟต์แวร์จากหลายบริษัท ดังนี้

ผู้ดูแล Axios ระบุถูกคนหลอกให้ติดตั้งโปรแกรมเพื่อเข้าประชุม เครื่องจึงถูกแฮก

By wittawasw

on 4 April 2026 - 20:07 Tag: Security, NPM, Social Engineering

Security

จากข่าวก่อนหน้า ที่มีการตรวจพบมัลแวร์ใน axios ซึ่งเป็น library ยอดนิยม และมีการปล่อยแพ็กเกจอันตรายขึ้น npm ล่าสุด Jason Saayman ผู้ดูแลโครงการได้ออกมาเปิดเผยรายละเอียดเหตุการณ์ (Post Mortem) ตั้งแต่จุดเริ่มต้นของการโจมตีว่า ไม่ได้มาจากช่องโหว่ทางเทคนิคโดยตรง แต่เป็นการทำ social engineering ที่ออกแบบมาเฉพาะตัวเขา โดยมีลำดับเหตุการณ์ตามนี้

axios ไลบรารี HTTP ยอดนิยมถูกฝังมัลแวร์ เปิดทางคนร้ายคุมเครื่องทุกเครื่องที่ติดตั้ง

By lew

on 1 April 2026 - 08:23 Tag: Security, NPM

Security

axios ไลบรารี HTTP ที่ได้รับความนิยมสูงมาก และมีอัตราการติดตั้งถึง 100 ล้านครั้งต่อสัปดาห์ถูกคนร้ายฝังมัลแวร์ได้สำเร็จและวางเป็นเวอร์ชัน 1.14.1 และ 0.30.4 เป็นช่วงเวลาประมาณสองชั่วโมงครึ่ง โดยในมัลแวร์เป็น remote access trojan (RAT) ที่สามารถควบคุมเครื่องของนักพัฒนาทุกคนที่ได้ติดตั้งเวอร์ชันมุ่งร้ายนี้ไป

แนวทางของคนร้ายคือการไปสร้างแพ็กเกจฝังมัลแวร์ของตัวเองเอาไว้ ชื่อว่า plain-crypto-js จากนั้นไปแก้ dependency ของ axios ให้ดาวน์โหลดแพ็กเกจเข้าไปด้วย

Wiz แจ้งเตือนกลุ่มแฮกเกอร์แทรกโค้ดเข้าแพ็กเกจ npm ยอดนิยมสำเร็จ Zapier, Posthog, Postman โดนด้วย

By lew

on 27 November 2025 - 00:01 Tag: Security, Wiz, NPM

Security

บริษัทวิจัยความปลอดภัย Wiz รายงานถึงแคมเปญแฮกวงกว้างของกลุ่มแฮกเกอร์ที่ใช้มัลแวร์ตระกูล Shai-Hulud โดยการแฮกครั้งนี้ประสบความสำเร็จในการกระจายโค้ดมุ่งร้ายเข้าไปยังแพ็กเกจ npm และโค้ดใน GitHub จำนวนมาก

ทาง Wiz ตรวจพบการแฮกครั้งแรกช่วงวันที่ 21-23 พฤศจิกายนที่ผ่านมา โดยตัวมัลแวร์จะแทรกสคริปต์ preinstall ใน npm ทำให้คนร้ายดึงข้อมูลจากเครื่องของเหยื่อออกไปได้ โดยจะดึงข้อมูล เช่น GitHub token, กุญแจสำหรับคลาวด์ เช่น AWS, GCP, Azure

GitHub ยกระดับความปลอดภัย npm หลังโดนโจมตีบ่อย บังคับใช้ 2FA, ลดอายุ token เหลือ 7 วัน

By mk

on 24 September 2025 - 08:44 Tag: NPM, GitHub, Security

NPM

GitHub ประกาศแผนยกระดับความปลอดภัยระบบจัดการแพ็กเกจ npm ที่ตกเป็นเป้าหมายโจมตีอยู่เรื่อยๆ และล่าสุดเพิ่งโดนเวิร์มระบาด กระทบกว่า 500 แพ็กเกจ

แผนการแก้ปัญหาความปลอดภัย npm มีดังนี้

แฮกเกอร์ใช้โดเมน npmjs dot help ส่งเมลหลอกผู้ดูแลแพ็กเกจ แทรกโค้ดดักข้อมูลในเบราว์เซอร์

By lew

on 9 September 2025 - 23:02 Tag: NPM, Security

NPM

สัปดาห์ที่ผ่านมาผู้ดูแลแพ็กเกจบน NPM จำนวนมากถูกส่งเมลหลอกเพื่อยึดบัญชี โดยมีอย่างน้อย 18 แพ็กเกจที่ผู้ดูแลถูกคนร้ายยึดบัญชี NPM แล้วปล่อยเวอร์ชั่นใหม่แทรกโค้ดมุ่งร้าย โมดูลใหญ่ๆ เช่น debug (ยอดดาวน์โหลดสัปดาห์ละ 350 ล้านครั้ง) ก็มีเวอร์ชั่นใหม่ออกมาโดยคนร้ายแทรกโค้ดมุ่งร้ายเข้าไป

คนร้ายอาศัยโดเมน npmjs dot help ที่เพิ่งจดทะเบียนใหม่ส่งเมลหลอกผู้ดูแลแพ็กเกจว่าต้องการอัพเดตการล็อกอินสองขั้นตอน ทำให้ผู้ดูแลแพ็กเกจที่หลงเชื่อใส่ทั้งรหัสผ่านและ OTP

สถิติแพ็กเกจยอดนิยมบน npm พบ 1 ใน 5 เป็นแพ็กเกจล้าสมัย ถูกทิ้งแล้ว หาต้นทางไม่เจอ

By mk

on 21 January 2024 - 14:58 Tag: NPM, Security, GitHub

NPM

บริษัทวิจัยความปลอดภัย Aqua Security เก็บสถิติแพ็กเกจยอดนิยมบน npm จำนวน 50,000 รายการแรกมาวิเคราะห์ แล้วพบว่าแพ็กเกจสัดส่วน 8.2% มีสถานะเป็นล้าสมัย (deprecated) อย่างเป็นทางการแล้ว (หมายถึงนักพัฒนาเจ้าของแพ็กเกจนั้นประกาศ deprecated อย่างชัดเจน)

นักพัฒนาลองของ สร้างแพ็กเกจ everything ใน NPM ลากทุกแพ็กเกจเข้ามา ทำนักพัฒนาคนอื่นลบแพ็กเกจไม่ได้

By lew

on 5 January 2024 - 00:12 Tag: NPM, Service Outage

NPM

นักพัฒนาที่ใช้ชื่อบัญชี PatrickJS ทดลองสร้างแพ็กเกจ "everything" โดยลากเอาทุกแพ็กเกจใน NPM เข้ามาเป็น dependency แล้วปล่อยแพ็กเกจนี้ขึ้นสู่ NPM ส่งผลให้นักพัฒนาทั้งระบบไม่สามารถลบหรือซ่อนแพ็กเกจออกไปได้

แนวทางของ PatrickJS คือสร้างแพ็กเกจย่อยจำนวน 5 แพ็กเกจ แต่ละตัวระบุว่าต้องใช้งานแพ็กเกจอื่นๆ ใน NPM ประมาณ 800 รายการ จากนั้นทุกตัวมารวมกันที่ everything ตัวหลัก หากผู้ใช้คนใดสั่ง npm install everything ก็จะเป็นการลากทุกแพ็กเกจใน NPM ลงมาในเครื่องทันที โดยรวมน่าจะดาวน์โหลดแพ็กเกจทั้งหมดนับล้านรายการ

GitHub ปรับระบบแจ้งเตือนความปลอดภัยใน npm ดูว่ากระทบกับโครงการจริงไหม

By lew

on 4 May 2023 - 22:33 Tag: GitHub, Security, NPM

GitHub

GitHub ปรับระบบแจ้งเตือนความปลอดภัยของโครงการต่างๆ ที่อาจจะดึงไลบรารีที่เกี่ยวข้อง และตัวไลบรารีมีรายงานว่ามีช่องโหว่ความปลอดภัย โดยเฉพาะในโครงการที่ใช้ไลบรารีจาก npm

ฟีเจอร์ใหม่นี้จะดูว่าโครงการแต่ละโครงการนั้นใช้ไลบรารีในรูปแบบใด เช่น ใช้เป็น devDependency ซึ่งใช้งานในโหมดพัฒนา และทางตรวจสอบจากกฎที่เตรียมไว้แล้วไม่กระทบกับโครงการปัจจุบันก็จะไม่ต้องแจ้งเตือนนักพัฒนา

ทาง GitHub เปิดใช้กับ npm ก่อนเพราะเป็น ecosystem ที่แต่ละโครงการดึง dependency จำนวนมาก และหลักจากเปิดใช้งานก็สามารถลดการแจ้งเดือนได้ประมาณ 15%

เพื่อความปลอดภัย npm เพิ่มฟีเจอร์ Granular Access Token กับนักพัฒนาร่วมโครงการ

By mk

on 7 December 2022 - 09:54 Tag: NPM, Security, GitHub

NPM

GitHub ในฐานะเจ้าของระบบจัดการแพ็กเกจ npm ประกาศฟีเจอร์ด้านความปลอดภัยใหม่อีก 2 อย่างดังนี้

granular access token นักพัฒนาเจ้าของโครงการสามารถให้สิทธิการเข้าถึงแก่นักพัฒนาคนอื่นๆ ได้ละเอียดขึ้น สามารถให้สิทธิเป็นรายเรื่องได้ ไม่ต้องให้สิทธิเต็ม ดังนั้นถ้า token หลุดออกไป (ตัวอย่างตามข่าวเก่า) ก็จำกัดความเสียหายได้ดีขึ้น นอกจากนี้ token ยังมีกำหนดวันหมดอายุ (นานสูงสุด 1 ปี) และจำกัดกลุ่ม IP ของผู้ใช้งานได้ด้วย
code explorer เดิมทีหากผู้ใช้ npm ต้องการตรวจสอบโค้ดว่าปลอดภัยหรือไม่ จำเป็นต้องดาวน์โหลดไฟล์ npm ไปติดตั้งก่อนซึ่งอาจไม่ปลอดภัย ทางแก้คือใช้ code explorer ที่ดูโค้ดได้จากเว็บ npm portal แทน แต่เดิมทีมันเป็นฟีเจอร์สำหรับผู้ใช้แบบเสียเงินเท่านั้น ล่าสุดคือ GitHub เปิดให้ทุกคนใช้งานฟรี

Deno ออกเวอร์ชัน 1.28 รองรับโมดูล npm อย่างเป็นทางการแล้ว

By mk

on 17 November 2022 - 10:57 Tag: Deno, NPM, Node.js, JavaScript, Programming

Deno

โครงการ Deno รันไทม์จาวาสคริปต์ ออกเวอร์ชัน 1.28 มีของใหม่ที่สำคัญคือรองรับโมดูล npm ของโครงการ Node.js ตามที่ประกาศไว้ ทำให้เราสามารถอิมพอร์ตโมดูล npm ที่มีมหาศาล 1.3 ล้านโมดูลมาใช้กับ Deno ได้

การใช้งาน npm ของ Deno ไม่จำเป็นต้องสั่ง npm install เพราะโมดูลจะถูกติดตั้งตอนรันโปรแกรมครั้งแรก, ไม่ต้องมีไฟล์ package.json และไม่ต้องมีโฟลเดอร์ node_modules เพราะโมดูลจะถูกแคชในไดเรคทอรี global แทน

Deno ประกาศเตรียมรองรับแพ็กเกจใน npm เกือบทั้งหมด

By lew

on 15 August 2022 - 20:35 Tag: Deno, JavaScript, NPM

Deno

Deno โครงการรันไทม์จาวาสคริปต์ประกาศแผนการพัฒนาเพิ่มเติม โดยจุดใหญ่ที่สุดคือการรองรับแพ็กเกจต่างๆ จาก npm ทำให้สามารถใช้แพ็กเกจแบบเดียวกับใน NodeJS ได้ แม้ว่าภายในแล้ว Deno จะต่างกับ NodeJS พอสมควร

npm รายงานข้อมูลรั่วจากโทเค็น Heroku/Travis-CI คนร้ายได้แฮชรหัสผ่านผู้ใช้แสนคน

By lew

on 27 May 2022 - 23:50 Tag: NPM, GitHub, Security, Data Breach, Heroku

NPM

GitHub รายงานข้อมูลเพิ่มเติมจากเหตุโทเค็น OAuth รั่วไหลเมื่อเดือนเมษายนที่ผ่านมา พบว่าคนร้ายได้รับข้อมูลมากกว่าซอร์สโค้ดของ npm เอง โดยคนร้ายได้ฐานข้อมูล ชื่อผู้ใช้, อีเมล, และค่าแฮชรหัสผ่าน ของผู้ใช้ประมาณ 100,000 คนไปด้วย

ข้อมูลที่หลุดไปอยู่ในไฟล์สำรองข้อมูลของเว็บ skimdb.npmjs.com ที่สำรองไว้ตั้งแต่วันที่ 7 เมษายน 2021 ในไฟล์ข้อมูลยังมี metadata ของแพ็กเกจส่วนตัวทั้งหมด, และแพ็กเกจภายในขององค์กรสององค์กร

นักพัฒนาโมดูล node-ipc ประท้วงสงคราม หากติดตั้งในรัสเซียจะไล่ลบไฟล์ผู้ใช้

By lew

on 18 March 2022 - 11:18 Tag: Security, NPM, JavaScript

Security

RIAEvangelist นักพัฒนาโมดูล node-ipc ที่ได้รับความนิยมสูง ใส่โค้ดเพื่อลบไฟล์ผู้ใช้หากตรวจสอบไอพีแล้วพบว่าผู้ใช้อยู่ในรัสเซียหรือเบลารุส ไม่ว่าผู้ใช้จะติดตั้งโมดูลโดยตรงหรือติดตั้งจาก dependency โมดูลอื่นๆ ก็ตาม

ทาง GitHub ออกมาประกาศว่าเวอร์ชั่น 10.1.1 และ 10.1.2 ที่ผู้ดูแลใส่โค้ดเข้ามานี้เป็นช่องโหว่ร้ายแรงระดับวิกฤติ ตอนนี้ทาง NPM ได้ลบเวอร์ชั่นเหล่านี้ออกแล้ว และมีการอัพเดตเป็นเวอร์ชั่น 10.1.3

GitHub เริ่มบังคับผู้ดูแลแพ็กเกจ NPM ยอดนิยม 100 อันดับแรก ต้องล็อกอิน 2FA

By mk

on 3 February 2022 - 06:41 Tag: NPM, GitHub, Authentication, Security

NPM

GitHub ประกาศบังคับให้ผู้ดูแลแพ็กเกจ NPM ยอดนิยม 100 ตัวแรก ต้องล็อกอินแบบ 2FA เพื่อเพิ่มระดับความปลอดภัยจากการถูกแฮ็กบัญชี ตามที่เคยประกาศแนวทางไว้

Russ Cox ระบุ NPM ควรเลิกดึงเวอร์ชั่นล่าสุด แก้ปัญหา color.js/faker.js

By lew

on 11 January 2022 - 01:01 Tag: NPM, JavaScript

NPM

Russ Cox วิศวกรกิตติมศักดิ์ (Distinguished Engineer) ของกูเกิล และทีมพัฒนาภาษา Go เขียนบล็อคถึงประเด็นที่นักพัฒนาโมดูล color.js และ faker.js ใส่โค้ดทำให้แอปอื่นๆ พังโดยจงใจ ว่ายังดีที่โค้ดนี้ไม่ได้ทำอะไรมุ่งร้ายมากไปกว่าทำให้แอปพังเพราะโค้ดพิมพ์ขยะจนเต็มหน้า แต่หลังจากเหตุการณ์นี้ NPM ควรปรับปรุงเพื่อรับมือปัญหาแบบนี้ในอนาคต

นักพัฒนาทำเอง ผู้ดูแลโมดูล color.js และ faker.js ใส่โค้ดลูปทำแอปจำนวนมากพัง, GitHub แบนแล้ว

By lew

on 9 January 2022 - 22:05 Tag: JavaScript, NPM, GitHub

JavaScript

ผู้ใช้ GitHub ชื่อบัญชี Marak เป็นผู้ดูแลโครงการโอเพนซอร์สจำนวนมากและช่วงสัปดาห์ที่ผ่านมาเขาใส่โค้ดรัน infinite loop เข้าไปยังโครงการ color.js (4,300 stars) และ faker.js (795 stars) ส่งผลให้โมดูลและแอปอื่นๆ ที่ใส่โมดูลเหล่านี้เป็น dependency ไม่สามารถทำงานได้ หน้าจอจะค้างและพิมพ์ขยะออกมาไม่หยุด

GitHub บังคับบัญชีแพ็กเกจ npm ยอดนิยม ล็อกอิน 2FA ป้องกันการแฮ็กแล้วปล่อยมัลแวร์

By mk

on 18 November 2021 - 09:12 Tag: NPM, GitHub, Security, Authentication

NPM

ความนิยมของแพ็กเกจ npm ในโลก JavaScript กลายเป็นช่องโหว่ด้านความปลอดภัยหลายครั้ง เพราะแฮ็กเกอร์สามารถยึดบัญชีนักพัฒนาแพ็กเกจ npm ชื่อดัง แล้วอัพเดตแพ็กเกจที่ฝังมัลแวร์เพื่อแพร่กระจายในวงกว้างอย่างรวดเร็ว (กรณีของ ua-parser-js และ coa)

GitHub ซึ่งปัจจุบันเป็นเจ้าของบริษัท npm Inc. จึงออกมาประกาศมาตรการความปลอดภัยของ npm เพื่อป้องกันปัญหาเหล่านี้ ได้แก่

บัญชี npm ของไลบรารี coa ถูกแฮก ทำแอป React/Vue build ไม่ผ่านทั่วโลก คนร้ายวางมัลแวร์ขโมยรหัสผ่านในเครื่องเหยื่อ

By lew

on 5 November 2021 - 02:01 Tag: NPM, JavaScript

NPM

ไลบรารี coa หรือ Command-Option-Argument เป็นไลบรารีสำหรับอ่านคำสั่ง command line ยอดนิยมบน npm ถูกแฮกและคนร้ายสามารถปล่อยเวอร์ชั่นมุ่งร้าย 2.0.3, 2.0.4, 2.1.1, 2.1.3, และ 3.1.3 ให้เหยื่อดาวน์โหลดผ่าน npm ได้สั้นๆ ไม่กี่ชั่วโมง

อัตราการใช้งาน coa สูงมาก มียอดดาวน์โหลดเกือบ 9 ล้านครั้งต่อสัปดาห์ ช่วงเวลาไม่กี่ชั่วโมงก็อาจจะถูกดาวน์โหลดไปแล้วนับแสนครั้ง

Subscribe to NPM