TanStack、Nx Console 與 GitHub 遭入侵的攻擊鏈（2026 年 5 月）：開發者應檢查什麼

受影響的套件為 42 個 Router/Start 套件、共 84 個版本，包括 @tanstack/react-router、@tanstack/react-start、@tanstack/router-core 與 @tanstack/history（完整清單見 GitHub 公告 GHSA-g7cv-rxg3-hmpx）。TanStack 表示 Query、Table、Form、Virtual 及其他套件不受影響。除了檢查 lockfile 目前的內容，也要檢查其在 2026 年 5 月 11 日前後的變更紀錄。惡意版本已在數小時內從 npm 移除，因此在該時段內的安裝，可能不會出現在今天的 lockfile 中。在 CI 中，請尋找 5 月 11 日 19:20 UTC 之後執行過安裝的工作。

Nx 的事後報告說明如何用 code --list-extensions --show-versions 檢查已安裝的版本（擴充功能 ID 包含 angular-console）。只有 v18.95.0 受影響，且該版本於 5 月 18 日 UTC 12:30 至 13:09 之間可供下載。Nx 要求，凡在該時段內開啟自動更新並安裝 Nx Console 的人，應將該機器視為已遭入侵，無論最終確認的安裝數字為何。事後報告也列出要檢查的檔案與程序（入侵指標）；若你受影響，請依照該清單逐一檢查。

TanStack 與 Nx 列出的目標相同：GitHub 權杖、npm 權杖、SSH 金鑰、雲端憑證（AWS、GCP、Azure）、Kubernetes、Vault 權杖，以及任何 .env 檔案的內容。Nx 另外補充：機器上的工具在該時段內可能核發的憑證（臨時雲端憑證、GitHub CLI 權杖等）也應一併考慮，並建議在輪換後考慮對該機器進行完整重建。關於撤銷順序與如何處理駐留的惡意程式，請參閱〈防禦 npm 供應鏈蠕蟲〉中的「若懷疑已感染」一節。

根據 TanStack，程式碼會尋找受害者所維護的其他套件，並嘗試以相同的注入內容重新發布。若你發布到 npm，請檢查自 5 月 11 日以來，你的套件版本紀錄中是否有你並未發布的版本。

根據 Nx，遭竊的憑證是 GitHub CLI 權杖。在該環境中，它儲存在磁碟上的一個檔案內，且以該使用者身分執行的任何程序都能讀取，並在 74 秒內就被用於 GitHub API。請執行 gh auth status 查看你的權杖儲存位置；若它位於純文字檔案中，請考慮改存到作業系統的金鑰圈，或使用只在執行時才注入憑證的密碼管理器整合。事件後，Nx 的政策已禁止在開發者電腦上直接使用 GitHub CLI。關於縮短權杖有效期與縮小權限範圍，請參閱〈防禦 npm 供應鏈蠕蟲〉。

根據 Nx，遭入侵的貢獻者專案在 .npmrc 中設定了 minimum-release-age=10080（7 天），但該專案固定使用 pnpm 10.14，而此版本不支援該設定，並悄悄忽略了它。pnpm 自 10.16 起才支援。惡意版本在安裝時只有 77 分鐘大，因此有效運作的設定本可以攔下它。請檢查 package.json 中 packageManager 欄位所固定的版本，並讓 CI 驗證其版本足夠新。npm 的對應設定已在〈防禦 npm 供應鏈蠕蟲〉中說明。

5 月 26 日，GitHub 宣布正在輪換金鑰，包括用於簽署 GitHub Enterprise Server 更新套件的金鑰。管理員必須輪換其執行個體中的 GPG 公開金鑰；否則，之後的升級會失敗，並出現檔案不是有效 GHES 套件的錯誤。操作說明與輔助腳本的 SHA256 摘要列於 GitHub 的公告中。GitHub 也要求客戶僅從官方來源下載 GHES 更新，並準備在未來數個月內以更高頻率接收安全更新。GitHub Enterprise Cloud 客戶不需採取任何行動。

根據 TanStack，一個套件大小檢查工作流程以 pull_request_target 執行，並在其中檢出並建置來自 fork 拉取請求的程式碼。pull_request_target 以基底儲存庫的權限執行，TanStack 指出首次貢獻者的核准閘門不適用於此觸發條件。請僅將它用於不會執行外部程式碼的工作，例如加標籤與留言。事件後，TanStack 已從其 CI 中移除所有 pull_request_target 的用法。

根據 TanStack，GitHub Actions 快取以儲存庫為單位共用：pull_request_target 的執行與推送到 main 的工作使用相同的範圍。將工作流程的 permissions: 設為唯讀，也無法阻止快取寫入。因此，發布工作流程還原了一個由執行外部程式碼的工作所寫入的快取。事件後，TanStack 停用了其發布管線中的套件快取，並清除所有快取。對於會發布的工作流程，不還原快取是最簡單的界線。

TanStack 的發布工作流程持有 id-token: write，用於 npm 受信任發布（OIDC）。根據事後報告，惡意發布並非來自工作流程定義的發布步驟；同一次執行中另一階段的程式碼擷取了權杖並直接發布。TanStack 自身的教訓是，受信任發布者的綁定不包含每次發布的審查。請將發布拆分為獨立工作，與建置及測試分開，只讓該工作擁有此權限，並將其置於要求 必要審核者 的 GitHub 環境之後。事件後，Nx 規定發布必須由觸發該執行者以外的人批准。

事件後，TanStack 與 Nx 都將每個 Action 參照固定到 commit SHA，而不是標籤或分支。TanStack 將浮動參照描述為「獨立於本次事件、持續存在的供應鏈風險」。

Nx 是透過擴充功能市集在每次上傳時寄出的例行通知信，發現遭竄改的發布版本。一位未預期有發布的維護者認出其異常，並在約 11 分鐘內將其下架。第二個散布管道沒有此類通知，在該管道下架花了約 36 分鐘。同時，遭竊權杖的相關活動（例如刪除工作流程執行紀錄）在稽核紀錄中停留了一週而未被察覺。請確認發布通知會送達團隊中的某人，並確認有人監看稽核紀錄中的工作流程執行刪除事件。