22 апреля 2026 года злоумышленники (группа TeamPCP) скомпрометировали GitHub Actions в CI/CD Bitwarden и опубликовали вредоносный npm-пакет @ bitwarden/cli (версия 2026.4.0). Пакет был доступен 93 минуты (с 5:57 до 7:30 PM ET). При установке он крал GitHub/npm-токены, SSH-ключи, .env-файлы, AWS/Azure/GCP-доступы, shell history и даже настройки AI-помощников (Claude, Kiro).

Краденые данные шифровались и уходили на C2-сервер audit[.]checkmarx[.]cx. Если разработчик устанавливал эту версию, его ключи доступа и токены публикации npm считаются скомпрометированными. Bitwarden оперативно отреагировал, удалив пакет. Разработчикам: немедленно проверьте, не ставили ли вы CLI версии 2026.4.0, и смените все ключи доступа.