Nel panorama della sicurezza informatica, le vulnerabilità nei sistemi di gestione dei pacchetti software rappresentano una minaccia significativa per gli sviluppatori e le aziende. A gennaio 2026, i ricercatori di Koi Security hanno scoperto una serie di falle di sicurezza, denominate collettivamente “PackageGate”, che colpiscono diversi gestori di pacchetti JavaScript molto utilizzati.
I ricercatori hanno identificato vulnerabilità in npm, pnpm, vlt e Bun che permettono di aggirare le difese “Shai-Hulud” implementate da npm. Queste vulnerabilità consentono l’esecuzione di script potenzialmente dannosi anche quando gli utenti utilizzano l’opzione di sicurezza ‘–ignore-scripts=true’, pensata proprio per impedire tale comportamento. Il problema principale risiede nella gestione delle dipendenze Git, che possono essere sfruttate per eseguire codice non autorizzato, bypassando i controlli di sicurezza esistenti. Dopo la segnalazione, Bun, vlt e pnpm hanno rilasciato patch per correggere le vulnerabilità (con pnpm che ha ricevuto i codici CVE-2025-69263 e CVE-2025-69264), mentre npm ha sorprendentemente respinto la segnalazione, non riconoscendo la gravità del problema.
L’importanza di queste vulnerabilità è legata agli attacchi “Shai-Hulud” alla catena di approvvigionamento software avvenuti tra settembre e novembre 2025, che hanno già colpito tra i 187 e gli 800 pacchetti npm, con un impatto su oltre 25.000 repository GitHub. PackageGate potrebbe potenzialmente amplificare la portata di questi attacchi, permettendo agli aggressori di compromettere sistemi anche quando gli sviluppatori pensano di essere protetti dalle misure di sicurezza standard.
Per proteggersi, le aziende e gli sviluppatori dovrebbero aggiornare immediatamente i gestori di pacchetti vulnerabili alle ultime versioni disponibili, in particolare pnpm, vlt e Bun. Gli utenti di npm, considerando la mancata correzione, dovrebbero considerare l’adozione di strumenti alternativi o implementare ulteriori controlli di sicurezza per verificare l’integrità delle dipendenze. È anche consigliabile monitorare attentamente le dipendenze Git nei progetti e, ove possibile, limitarne l’uso diretto favorendo pacchetti verificati dai registri ufficiali.
- Punti chiave da ricordare:
- Le vulnerabilità PackageGate colpiscono npm, pnpm, vlt e Bun, permettendo l’esecuzione di codice non autorizzato anche con le protezioni attive
- Gli attacchi alla catena di approvvigionamento software rappresentano una minaccia crescente, con i precedenti attacchi Shai-Hulud che hanno già colpito centinaia di pacchetti
- Mentre pnpm, vlt e Bun hanno corretto le vulnerabilità, npm non ha ancora implementato soluzioni, lasciando gli utenti potenzialmente esposti
Fonti:
https://www.bleepingcomputer.com/news/security/hackers-can-bypass-npms-shai-hulud-defenses-via-git-dependencies/
https://www.aikido.dev/blog/github-actions-incident-shai-hulud-supply-chain-attack
https://www.wiz.io/blog/shai-hulud-2-0-ongoing-supply-chain-attack
Fonte: BleepingComputer