‏حمله زنجیره تأمین به TanStack، Mistral AI و دیگران

یک حمله زنجیره تأمین (Supply Chain Attack) کاملاً هماهنگ در شب ۱۱ مه ۲۰۲۶ رخ داد که طی آن مهاجم موفق شد بیش از ۱۷۰ پکیج npm و ۲ پکیج PyPI را با انتشار ۴۰۴ نسخه مخرب آلوده کنه. این حمله که با نام mini-shai-hulud ردیابی می‌شه، اولین کمپین هماهنگی‌ست که هم‌زمان هر دو رجیستری npm و PyPI رو هدف گرفته.

بزرگ‌ترین قربانی از نظر تعداد پکیج، اکوسیستم TanStack بود؛ ۴۲ پکیج شامل @tanstack/react-router، @tanstack/vue-router، @tanstack/solid-router و ابزارهای مرتبط، هرکدام با ۲ نسخه مخرب آلوده شدند. Mistral AI نیز هر سه پکیج SDK رسمی‌اش (mistralai، mistralai-azure، mistralai-gcp) را از دست داد. UiPath با ۶۵ پکیج آلوده سنگین‌ترین ضربه از نظر تعداد scope را خورد. OpenSearch هم با ۱.۳ میلیون دانلود هفتگی در ۴ نسخه تحت تأثیر قرار گرفت.