OpenSSF 恶意包库新增记录 MAL-2026-18127，指 npm 包 @sudobility/indexer_client 0.0.146 含恶意代码，并关联 GHSA-xfvr-39v2-q24q。
为什么值得看：记录显示 npm 包 @sudobility/indexer_client 的 postinstall 会下载挖矿载荷，并给出可核查的 IOC 与处置建议。
TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
LiteLLM 项目的发布流水线于 10 月 21 日被入侵，攻击者向 PyPI 和 Docker 仓库推送了 1.107.0 版本，其中包含窃取凭据并加载远程代码执行工具的编译恶意代码。
为什么值得看：复盘列出了被投毒的 PyPI wheel 与 Docker 镜像标签及存活时间窗，可据此排查自己是否装过受影响版本。
OpenSSF 恶意包库通过 Ingest OSV 提交新增 5 个 npm 恶意包记录，均由 Amazon Inspector 发现。
为什么值得看：这批 npm 恶意包覆盖安装期远程拉取、仿冒 Anthropic 域名窃取密钥与 GYP 命令扩展执行三类手法，可对照排查自有依赖。
OpenSSF 恶意包库新增记录，npm 账号 testnewtestme2 于 2026-10-21 发布的 event-emitter-testmetest 1.0.6、1.0.7、4.1.0、5.0.0 携带恶意代码，CWE-506。
为什么值得看：记录给出了恶意 npm 包的版本、隐藏安装钩子与各版本载荷差异，便于开发者比对依赖与文件哈希。
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
OpenSSF 恶意包库提交为多个恶意包分配 MAL 编号，包括 npm 上的 @sudobility/indexer_client 0.0.146、@sudobility/shaperouter_client 0.0.14、@sudobility/testomniac_client 0.0.131、@sudobility/wildduck_client 2.3.102。
为什么值得看：提交记录显示 @sudobility 系列 npm 包在 postinstall 中投放 XMRig 挖矿程序，并列出 S3 下载地址与矿池域名等 IOC。
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看：记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
GitHub 安全公告指出，2026.10.18 之前的 certifi 版本在内置 CA 库中包含 `emSign ECC Root CA - G3` 根证书，链到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。
为什么值得看：公告说明 certifi 内置的 emSign 根证书链上存在私钥泄露的中间 CA，并给出受影响版本与升级版本，便于排查依赖链。
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。