Poin Utama
- Sejumlah package npm dikompromikan melalui serangan software supply chain sepanjang 2026.
- Malware dapat berjalan saat package diinstal dan mencuri kredensial maupun informasi sensitif.
RRI.CO.ID, Bogor - Serangan terhadap ekosistem JavaScript melalui package npm kembali menjadi perhatian setelah sejumlah package populer dilaporkan dikompromikan dalam serangkaian serangan software supply chain. Serangan tersebut menyisipkan kode berbahaya ke dalam package yang dapat berjalan ketika developer memasangnya pada komputer atau lingkungan CI/CD.
Salah satu insiden terbaru terjadi pada 4 Agustus 2026 dan menyasar ekosistem keyv serta cacheable. Laporan keamanan menyebut serangan tersebut berdampak pada ratusan package dan memanfaatkan mekanisme penyebaran otomatis untuk mencari kredensial serta akses ke lingkungan pengembangan.
Sebelumnya, serangan juga menargetkan ekosistem Mastra, yakni framework JavaScript dan TypeScript untuk pengembangan aplikasi berbasis kecerdasan buatan (AI). Pada 17 Juni 2026, lebih dari 140 package dalam namespace @mastra/* dilaporkan dikompromikan melalui penyisipan dependency bernama easy-day-js, yang merupakan typosquat dari library populer dayjs.
Menurut laporan Socket, easy-day-js membawa postinstall dropper yang dapat berjalan secara otomatis ketika package dipasang. Payload tersebut kemudian dapat mengunduh komponen tahap berikutnya dan berpotensi mencuri informasi sensitif, termasuk kredensial developer serta data yang berkaitan dengan aset kripto.
Ancaman serupa juga ditemukan pada package jscrambler. Wiz melaporkan bahwa versi jscrambler@8.14.0 diterbitkan dengan preinstall hook berbahaya pada 11 Juli 2026, yang menjalankan dropper dan mengambil binary khusus berdasarkan sistem operasi Windows, Linux, maupun macOS.
Pada 14 Juli 2026, serangan berbeda menargetkan sejumlah package AsyncAPI. StepSecurity melaporkan empat package npm yang dikompromikan membawa dropper Miasma, sementara package tersebut diterbitkan melalui pipeline GitHub Actions yang sah setelah penyerang memperoleh akses ke repositori terkait.
Dilansir dari laporan keamanan Socket, Wiz, StepSecurity, Endor Labs, dan Palo Alto Networks Unit 42, rangkaian kasus tersebut menunjukkan bahwa ancaman terhadap npm tidak hanya berasal dari package yang sengaja dibuat berbahaya. Serangan juga dapat terjadi melalui akun maintainer atau repository resmi yang berhasil diambil alih.
Developer disarankan memeriksa versi dependency dan lock file serta memantau aktivitas instalasi ketika menggunakan package yang masuk dalam daftar terdampak. Pemeriksaan terhadap kredensial dan akses pada lingkungan CI/CD juga penting dilakukan untuk mengantisipasi penyalahgunaan setelah terjadi kompromi.
Rekomendasi Berita
Memuat berita terbaru.....