Atacantes han tomado el control de 10 paquetes de npm, insertando código oculto en 12 versiones diferentes. Este código utiliza la cadena de bloques de Ethereum para localizar un servidor y descargar malware adicional. El hallazgo, identificado como sonatype-2026-010515 y denominado malware PolinRider, fue confirmado por Sonatype Research Labs el 4 de noviembre de 2026, asignándole una puntuación de severidad alta de 8.7.

Se detectó un gusano de npm de la familia Miasma que comprometió 42 repositorios de GitHub mediante el robo de credenciales y el uso de cargas útiles diseñadas para evadir escáneres. El malware se propaga automáticamente y utiliza ganchos para asistentes de IA y herramientas de desarrollo, incluyendo un sistema que borra datos si se revoca el token robado. Además, se vinculó esta campaña con el abuso de GitHub Actions para explotar vulnerabilidades en cPanel y WHM.

Un fallo de seguridad en la función de Publicación Confiable de npm expuso más de 1,500 paquetes a una posible toma de control mediante la recuperación de nombres de repositorios de GitHub. Estos paquetes afectados acumulan más de 10 millones de descargas totales y superan el millón de descargas mensuales, lo que representa un grave riesgo para la cadena de suministro de software de desarrolladores y organizaciones que dependen de npm.

Un conocido gusano de npm ha reaparecido tras más de tres meses de inactividad, utilizando el mismo archivo malicioso vinculado a un incidente previo de la cadena de suministro. Esta situación demuestra cómo una amenaza detectada puede volver a acceder a los entornos de desarrollo al ser republicada dentro de paquetes de software ordinarios. En la actividad más reciente, se detectaron cuatro paquetes cargados en el lapso de una hora.

Un ataque de cadena de suministro ha introducido el malware Miasma en paquetes npm de AsyncAPI, poniendo en riesgo los sistemas de desarrolladores y entornos de compilación automatizados. Los atacantes aprovecharon un proceso de lanzamiento comprometido para publicar código malicioso a través del espacio de nombres legítimo del proyecto, afectando a paquetes que suman aproximadamente 2,9 millones de descargas semanales.

Investigadores de Checkmarx detectaron ViteVenom, una campaña de ataques a la cadena de suministro con siete paquetes maliciosos de npm dirigidos al ecosistema Vite. Esta operación, atribuida al actor SuccessKey, utiliza una infraestructura de mando y control basada en blockchain para entregar un troyano de acceso remoto. Se recomienda a los usuarios eliminar estos paquetes inmediatamente, auditar sus dependencias y rotar todas sus credenciales.

Se ha detectado un ataque de cadena de suministro en el paquete npm jscrambler, una herramienta de protección de código JavaScript con más de 15.800 descargas semanales. El equipo de Socket Research identificó que versiones maliciosas instalaban silenciosamente malware nativo en sistemas Windows, macOS y Linux, siendo la primera versión comprometida la 8.14.0, detectada el 11 de julio de 2026.

Investigadores detectaron paquetes maliciosos de npm y Go que utilizan tareas automatizadas de VS Code y archivos de fuentes falsos para infectar sistemas. Esta campaña, atribuida a Corea del Norte, despliega un backdoor y un programa en Python diseñado para robar credenciales, billeteras de criptomonedas y datos de desarrolladores. Se recomienda eliminar los paquetes afectados y cambiar todas las contraseñas y tokens de seguridad inmediatamente.

Investigadores descubrieron paquetes maliciosos de npm diseñados para instalar un troyano de acceso remoto (RAT) en Windows. Estos paquetes imitan herramientas legítimas para engañar a los usuarios y pueden robar credenciales de Chrome y ejecutar comandos remotos. Se recomienda eliminar cualquier paquete sospechoso y cambiar las contraseñas de inmediato.