גרסה זדונית של Bitwarden CLI הופיעה ב-npm ונועדה לגנוב מפתחות ממפתחים
ב-22 באפריל 2026 פורסמה ב-npm הגרסה 2026.4.0 של Bitwarden CLI, עם קוד שגונב אסימונים ומפתחות. Bitwarden מסרה שכספות המשתמשים לא נפגעו, והקשרה את האירוע לפריצה ל-Checkmarx.
TL;DR בקצרה
- הגרסה הזדונית @bitwarden/cli 2026.4.0 הייתה זמינה ב-npm בין 17:57 ל-19:30 שעון החוף המזרחי של ארה״ב, ב-22 באפריל.
- הקוד נועד לגנוב אסימוני npm ו-GitHub, מפתחות SSH וסודות ענן, ולהעלות אותם לריפוזיטורי GitHub ציבוריים.
- Bitwarden מסרה שאין עדות לגישה לכספות של משתמשי קצה, ושרק מי שהתקין את החבילה מ-npm בחלון הזה חשוף.
- מי שהתקין אותה צריך להסיר, להחליף סודות ולהתקין את הגרסה 2026.4.1.
ב-22 באפריל 2026 הופיעה ב-npm גרסה זדונית של Bitwarden CLI, הכלי של Bitwarden לשורת הפקודה. הגרסה 2026.4.0 הייתה זמינה כ-90 דקות. היא נועדה לגנוב אסימונים, מפתחות SSH וסודות ענן ממחשבי מפתחים. לפי Bitwarden, אין עדות לפגיעה בכספות של משתמשי קצה.
מה קרה ב-Bitwarden CLI
לפי ההודעה הרשמית של Bitwarden, חבילה זדונית הופצה לזמן קצר דרך npm. החלון היה בין 17:57 ל-19:30 שעון החוף המזרחי, ב-22 באפריל. הפגיעה הייתה רק בערוץ ההפצה של npm, ולא בקוד הלגיטימי של הכלי.
לפי Bitwarden, התוסף לדפדפן, אפליקציית הדסקטופ, אפליקציית המובייל, השרת וחבילת ה-Snap בטוחים. החברה ביטלה את הגישה שנוצלה והוציאה את החבילה משימוש. היא גם קיבלה מזהה חולשה, CVE-2026-42994, והגרסה המתוקנת היא 2026.4.1.
איך הקוד הזדוני ב-Bitwarden CLI פועל
לפי JFrog, כפי שמופיע ב-BleepingComputer, סקריפט ההתקנה מריץ טוען (loader) בשם bw_setup.js. תסריט כזה רץ אוטומטית כשמתקינים חבילה. הטוען בודק אם יש במחשב את Bun, סביבת הרצה ל-JavaScript. אם אין, הוא מוריד אותה. אחר כך הוא מריץ סקריפט מטושטש בשם bw1.js.
הסקריפט אוסף אסימוני npm ו-GitHub, מפתחות SSH וסודות של AWS, Azure ו-Google Cloud. לפי Socket, הוא אוסף גם משתני סביבה וקובצי הגדרות של Claude ו-MCP. הוא מצפין את המידע ומעלה אותו לריפוזיטורי GitHub ציבוריים שנוצרים בחשבון הקורבן. OX Security מצאה בהם את המחרוזת ״Shai-Hulud: The Third Coming״, כמו בהתקפות קודמות.
הקוד גם מתפשט. עם אסימוני npm גנובים הוא מחפש חבילות שהקורבן רשאי לעדכן, ומחדיר להן קוד זדוני. לפי Socket, הוא מפסיק לפעול בשקט במחשבים עם הגדרות שפה רוסית.
הקשר ל-Checkmarx ול-TeamPCP
יום לפני כן פרסמה Checkmarx אירוע דומה. תוקפים פגעו בתמונות Docker של הכלי KICS, בתוספים ל-VS Code ול-Open VSX ובפעולת GitHub שלה. לפי BleepingComputer, תגיות ה-Docker הצביעו על תמונה זדונית ב-22 באפריל, בין 14:17 ל-15:41 UTC.
Bitwarden מסרה ל-BleepingComputer שהאירוע קשור ל-Checkmarx. לדבריה, תוקפים פרצו לכלי פיתוח הקשור ל-Checkmarx, ובעזרתו ניצלו את נתיב ההפצה ב-npm. לפי Socket, ל-Bitwarden ול-Checkmarx יש כתובת שרת זהה ואותה שיטת טשטוש. לפי BleepingComputer, לא ידוע איך התוקפים נכנסו בתחילה.
BleepingComputer מייחסת את שני האירועים לקבוצה TeamPCP, שקשורה לפריצות קודמות ל-Trivy ול-LiteLLM. Socket מסתייגת מהשיוך. לדבריה, TeamPCP קיבלה אחריות רק על Checkmarx. Socket מעריכה שמאחורי Bitwarden אולי עומד מפעיל אחר, עם כלים משותפים. היא מניחה שהתוקפים השתלטו על GitHub Action בצנרת של Bitwarden.
האירוע מראה כמה צנרת הפיתוח שווה לתוקפים. מחשב מפתח או שרת CI מחזיקים אסימונים שפותחים ריפוזיטורי קוד, ענן וחבילות. הקוד הזדוני לא צריך לפרוץ לשרת של Bitwarden כדי להגיע אליהם. מספיק שמפתח אחד יריץ התקנה בזמן הלא נכון.
מה זה אומר עבורכם
- משתמשי Bitwarden רגילים: אם אתם משתמשים רק בתוסף, באפליקציה או בשרת, אין צורך בפעולה.
- מי שהתקין את הכלי ב-npm: בדקו אם התקנתם את 2026.4.0 בחלון הזמן. אם כן, הסירו אותו עם
npm uninstall -g @bitwarden/cli, נקו מטמון והתקינו את 2026.4.1. - החליפו סודות: הניחו שאסימוני npm ו-GitHub, מפתחות SSH וסודות ענן באותו מחשב נחשפו. החליפו גם סודות של צנרת CI.
- חפשו עקבות ב-GitHub: בדקו אם נוצרו בחשבון ריפוזיטורי ציבוריים שלא יצרתם, או קובצי workflow חדשים.
- הקשיחו התקנות: Bitwarden ממליצה לכבות סקריפטי התקנה עם
npm config set ignore-scripts true. בנוסף, נעצו תלויות ופעולות GitHub לגרסה מדויקת.
מקורות והרחבה
- Bitwarden statement on Checkmarx supply chain incidentBitwarden
- Bitwarden CLI npm package compromised to steal developer credentialsBleepingComputer
- Bitwarden CLI compromisedSocket
- New Checkmarx supply-chain breach affects KICS analysis toolBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
