Bitwarden CLI 遭供应链攻击，恶意包短暂流通约 1.5 小时

2026-04-24 09:47:44

ChainCatcher 消息，SlowMist CISO 23pds 披露，密码管理工具 Bitwarden CLI 版本 2026.4.0 于美东时间 17:57 至 19:30 期间遭受 Checkmarx 供应链攻击，攻击者通过滥用 Bitwarden CI/CD 管道中的 GitHub Action，将恶意包短暂经由 npm 分发。

官方确认 Vault 数据未泄露，生产系统未受影响，仅该时间窗口内通过 npm 安装该版本的用户受到波及。官方建议受影响用户立即卸载 2026.4.0、清理 npm 缓存、轮换 API Token 及 SSH Key 等敏感凭证、排查 GitHub 与 CI 异常活动，并升级至修复版本 2026.4.1。