Seguimiento de ataques a la cadena de suministro de npm
Un seguimiento vivo del gusano Shai-Hulud / ChainDrop de npm y de otros ataques a la cadena de suministro de 2026: paquetes afectados, versiones seguras y qué hacer.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Los ataques a la cadena de suministro de software en npm pasaron de raros a rutinarios en 2026. Esta es una lista viva de los incidentes de npm y PyPI que PlayCISO ha analizado de primera mano, del más reciente al más antiguo: la familia de gusanos autorreplicantes Shai-Hulud / ChainDrop y los ladrones de credenciales que siguen el mismo patrón. Hoy se siguen 4 incidentes. Cada fila enlaza con un análisis completo con fuentes identificadas, las versiones afectadas y lo que de verdad debería hacer un responsable de seguridad. El patrón común en 2026: un hook del ciclo de vida (preinstall / postinstall) se ejecuta al instalar, roba las credenciales de desarrollo y de CI y se republica con un token de npm robado. La solución duradera no es solo rotar tokens, sino denegar por defecto los scripts de instalación, fijar versiones con hashes de integridad y acotar los runners de CI. Los datos tienen licencia CC BY 4.0. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Recorre los incidentes, del más reciente al más antiguo, con la fecha, el paquete, la familia y la versión segura.
- Abre el análisis completo de cualquier fila para ver las fuentes identificadas y qué hacer.
- Aplica el playbook del defensor: deniega por defecto los scripts de instalación, elimina la persistencia antes de revocar, fija y verifica, y acota los runners de CI.
- Analiza tus propios manifiestos con el NPM Scanner y el Package Scanner.
Preguntas frecuentes
¿Qué es el gusano Shai-Hulud de npm?
Shai-Hulud es una familia de gusanos autorreplicantes de npm vista por primera vez en 2025 y que resurgió a lo largo de 2026 (la oleada de keyv, la oleada de @subql / ChainDrop y el compromiso de tensorlake). Un paquete malicioso ejecuta código al instalarse, roba las credenciales de desarrollo y de CI y, con un token de npm robado, se inyecta en los propios paquetes de la víctima y los republica, de modo que cada mantenedor infectado se convierte en una nueva fuente de infección.
¿Cómo sé si me afecta alguno de estos paquetes?
Ejecuta npm ls <paquete> en cada repositorio y cada máquina de desarrollo, y busca la versión maliciosa en tus lockfiles (package-lock.json, pnpm-lock.yaml, yarn.lock). No olvides las dependencias transitivas ni lo que haya instalado un agente de programación con IA. Trata como comprometido cualquier host en el que se haya ejecutado el script de instalación.
¿Por qué rotar mi token de npm no detiene el gusano?
Las variantes más duraderas abusan de los tokens OIDC efímeros de GitHub Actions, emitidos en cada ejecución del flujo de trabajo, en lugar de un secreto estático, y algunas (como tensorlake) instalan un interruptor de hombre muerto que borra el directorio personal cuando se revoca un token robado. Elimina primero la persistencia y después rota; la defensa duradera es bloquear por defecto los scripts de instalación y acotar los runners de CI.
¿Está completo este seguimiento?
No. Cubre los incidentes de los que PlayCISO ha publicado un análisis completo, así que detrás de cada fila tienes un análisis con fuentes en lugar de un feed en bruto. Se actualiza a medida que se analizan nuevos ataques.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.