門戶新聞訊息，4月24日——根據 SlowMist 首席資訊安全官 23pds 的說法，Bitwarden CLI 版本 2026.4.0 在 4 月 24 日美東時間 17:57 至 19:30 之間遭受了一起供應鏈攻擊而被竄改。在這起攻擊中，攻擊者利用 Bitwarden 的 CI/CD 管線中的 GitHub Actions，植入了一個惡意套件，該惡意套件曾短暫地透過 npm 發行。
此次攻擊針對該儲存庫的持續整合工作流程，使未經授權的程式碼得以到達套件登錄中心。不過，Bitwarden 已確認 Vault 資料未受影響、生產系統未受影響，且僅有在 1.5 小時的時間窗內從 npm 安裝了 2026.4.0 版本的使用者受到影響。
Bitwarden 建議受影響使用者立刻解除安裝 2026.4.0 版本，清除 npm 快取，輪換 API 代幣與 SSH 金鑰，針對異常情況審計 GitHub 與 CI 活動，並升級至已修補的 2026.4.1 版本。
Related News
