Axios na npm zasažen útokem na dodavatelský řetězec: kompromitované verze stahovaly trojana pro vzdálený přístup
CISA 20. dubna 2026 zveřejnila oznámení o kompromitaci oblíbené JavaScriptové knihovny Axios na npm. Dvě verze balíčku distribuovaly škodlivou závislost plain-crypto-js, která stahovala vícefázovou payload s trojanem pro vzdálený přístup. Vývojová týmy, které nad kompromitovanými verzemi spustily instalaci, musí předpokládat kompromitaci build prostředí.
Axios patří mezi nejrozšířenější HTTP klienty v ekosystému JavaScriptu a Node.js s miliony stažení týdně. Podle informací CISA a Microsoft Threat Intelligence byly 31. března 2026 do oficiálního repozitáře npm publikovány verze
Cesta kompromitace kopíruje schéma, které se v posledních dvou letech opakuje u populárních balíčků. Útočník získal přístup k účtu maintainera, publikoval kompromitované verze přímo do hlavního kanálu, a protože je npm ve výchozím nastavení instaluje bez ohledu na stáří, stovky projektů je automaticky stáhly v rámci běžných CI/CD pipeline nebo lokálních npm install příkazů. V průběhu 1. dubna 2026 Microsoft publikoval vlastní analýzu a krátce poté komunita balíčku Axios potvrdila incident v GitHub issue č. 10636. Autoři následně zveřejnili čisté verze a označili kompromitované verze jako deprecated.
Pro provozovatele služeb postavených na Node.js je zásadní rychlé vyhodnocení expozice. Prvním krokem je forenzní kontrola všech systémů, které mezi 31. březnem a 20. dubnem 2026 spustily npm install nebo npm update s kompromitovanou verzí Axios. Patří sem vývojářské stanice, sdílené build agenty, CI/CD runnery i dočasná prostředí typu ephemeral runner, která se po dokončení buildu zahazují. Druhým krokem je kontrola artefaktových repozitářů a cache na přítomnost balíčku plain-crypto-js. CISA doporučuje odstranit adresář node_modules/plain-crypto-js/, vrátit závislost na verze
Následuje rotace všech přístupových údajů, které mohly projít kompromitovaným prostředím. Jedná se zejména o tokeny k verzovacím systémům (GitHub, GitLab), tajné proměnné v CI/CD (secrets), cloudové API klíče, tokeny npm a SSH klíče. U ephemeral CI jobů nestačí rotace jen u trvalých tajemství – vyměnit se musí i secrety, které byly do kompromitovaného běhu injektovány za běhu. Další vrstvou detekce je monitoring odchozích spojení na doménu Sfrclak[.]com a hledání neočekávaných dětských procesů spuštěných v průběhu instalace balíčků.
CISA současně formuluje preventivní doporučení, která dávají smysl nezávisle na tomto konkrétním incidentu. První je vynucení phishing-rezistentní vícefaktorové autentizace u účtů vývojářů a maintainerů napojených na publikační kanály. Druhým je nastavení ignore-scripts=true v konfiguračním souboru .npmrc, které zabrání spuštění post-instalačních skriptů při npm install a odstraní jednu z nejzneužívanějších cest k provedení kódu. Třetím je parametr min-release-age=7, díky kterému npm neinstaluje balíčky publikované před méně než sedmi dny. Krátká karanténa pro čerstvé verze dává bezpečnostním výzkumníkům čas detekovat útok dříve, než se jeho kód dostane do produkčních buildů.
Incident s Axios je součástí širší tendence. Jen během první poloviny roku 2026 veřejné registry zaznamenaly několik útoků stejné povahy proti populárním JavaScriptovým i Python balíčkům a tlačí provozovatele kritických služeb k tomu, aby v security governance formalizovali dodavatelský řetězec softwaru. Interní SBOM (Software Bill of Materials), verzové pinning, privátní proxy pro veřejné registry a pravidelný audit závislostí tvoří minimální soubor opatření, která snižují dopad dalšího takového incidentu.
Další články
Nové zranitelnosti v katalogu CISA KEV – vydání 17b: aktivně zneužívaná chyba v Microsoft Defender
NÚKIB v prvním čtvrtletí 2026 zaznamenal přes 70 incidentů, nejvíc za posledních dvanáct měsíců
