深度分析
Trivy 惡意發布引發供應鏈連鎖：Checkmarx、Bitwarden 與 TeamPCP/Lapsu$ 影響分析
Trivy漏洞掃描器的供應鏈入侵引發連鎖攻擊，駭客透過受信任工具植入惡意程式並掃描竊取儲存庫金鑰與憑證。TeamPCP販售存取權，Lapsu$隨後發布部分資料，導致Checkmarx與Bitwarden等資安廠商受波及，彰顯安全工具既是目標也是攻擊載具，進一步放大下游風險。
憑證管理
深度分析
Trivy 供應鏈攻擊波及 Checkmarx 與 Bitwarden：憑證管理與 CI/CD 防護缺口解析
近六周內資安廠商Checkmarx遭遇多起供應鏈入侵與勒索攻擊。攻擊者先入侵Trivy帳號並篡改標籤，向使用者推送惡意程式，程式會掃描GitHubToken、SSH金鑰等憑證。TeamPCP等組織出售存取權並可能交由Lapsu$進行勒索與資料外洩。此事顯示安全工具同時成為攻擊目標與傳遞管道，恐引發連鎖風險。對開發者生態與供應鏈防護提出重大挑戰。
深度分析
Vercel OAuth 供應鏈攻擊：Context AI 應用導致部分客戶憑證外洩
Vercel近日確認其內部系統遭駭，攻擊源頭疑與第三方應用Context AI有關。一名員工下載並以OAuth連結其Google企業帳戶，駭客藉此接管帳戶並取得部分未加密的憑證與內部存取權。Vercel指出Next.js與Turbopack等開源專案未受影響，並已通知受影響客戶、發布IOC與建議輪換金鑰。