Wersja 18.95.0 rozszerzenia Nx Console do VS Code zawierała złośliwy kod kradnący tokeny, klucze SSH i hasła. CISA potwierdza wykorzystanie, także przez ransomware. Sprawdź komputery programistów i wymień poświadczenia.
Ten alert jest dla zarządu, CTO i CFO firm, które zatrudniają programistów albo zlecają tworzenie oprogramowania zewnętrznym wykonawcom. Werdykt: jeśli ktokolwiek z Twoich ludzi lub wykonawców miał w edytorze kodu rozszerzenie Nx Console z automatyczną aktualizacją w maju 2026 roku, sprawdź to dziś, a w razie potwierdzenia traktuj jego komputer jako przejęty i wymień wszystkie hasła, klucze i tokeny, które na nim były.
Amerykańska agencja CISA 27 maja 2026 roku dopisała CVE-2026-48027 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tym razem nie chodzi o błąd w kodzie, tylko o atak na łańcuch dostaw: przestępca opublikował w sklepach z rozszerzeniami fałszywą wersję 18.95.0 popularnego dodatku Nx Console do edytora Visual Studio Code i jego odmian (np. Cursor). Po uruchomieniu dodatek pobierał zaciemniony program, który zbierał poświadczenia z dysku i pamięci komputera.
Skażona wersja była dostępna krótko: w Visual Studio Marketplace około 18 minut, w sklepie Open VSX około 36 minut. Według analizy producenta to wystarczyło, bo edytory aktualizują rozszerzenia automatycznie. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 10 czerwca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-48027 |
Data dodania do CISA KEV | 2026-05-27 |
Termin naprawy wg CISA | 2026-06-10 (14 dni od wpisu) |
Produkt | Nx (Nrwl), rozszerzenie Nx Console do Visual Studio Code i edytorów pochodnych, np. Cursor |
Wersje zagrożone | Wyłącznie 18.95.0, pobrana z Visual Studio Marketplace lub Open VSX w oknie ekspozycji (18 lub 19 maja 2026, zależnie od źródła, między 12:30 a 13:09 UTC). Producent: narzędzie wiersza poleceń Nx, wtyczki @nx/* i Nx Cloud nie były dotknięte |
Wersje bezpieczne | 18.100.0 i nowsze (pierwsza czysta wersja). W dniu publikacji analizy producenta (21 maja 2026) najnowszą była 18.100.5 |
Typ podatności | Osadzony złośliwy kod w wydaniu oprogramowania (atak na łańcuch dostaw); CWE-506 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). GitHub jako wystawca numeru CVE: 9.3 (CVSS 4.0, KRYTYCZNA). Atak przez sieć, bez konta i bez klikania, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie firmę, która co tydzień dostaje od zaufanej hurtowni dostawę środków czystości. Kierowca ma klucze do zaplecza i sam rozkłada towar na półkach, bo tak jest wygodniej. Pewnego dnia ktoś ukradł hurtowni pieczątkę i dokumenty kierowcy, podjechał z identyczną dostawą, a w jednym kartonie zostawił urządzenie, które kopiuje wszystkie klucze wiszące na tablicy w zapleczu. Po kwadransie hurtownia zorientowała się i odwołała dostawę, ale część sklepów już ją przyjęła.
Tak wyglądał ten atak. Programiści instalują rozszerzenia do edytora jednym kliknięciem i pozwalają, by aktualizowały się same. Rozszerzenie działa z uprawnieniami osoby, która je zainstalowała: czyta pliki, pamięć i łączy się z internetem. Według analizy producenta przestępca opublikował fałszywą wersję, używając skradzionego wcześniej tokenu jednego ze współtwórców projektu, więc sklep uznał ją za prawdziwe wydanie.
💡 Rozszerzenie (wtyczka) to dodatek do programu, jak dodatek do przeglądarki. Łańcuch dostaw oprogramowania to wszystkie narzędzia i biblioteki, z których korzysta programista; atak na ten łańcuch uderza w dostawcę, żeby dotrzeć do jego użytkowników. Poświadczenia to hasła, klucze SSH i tokeny, czyli cyfrowe przepustki do systemów. Token to ciąg znaków, który zastępuje logowanie hasłem, np. do GitHuba lub chmury AWS. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aktualizacja rozszerzenia w tle | Programista dostaje poprawki i nowe funkcje | Programista dostaje złośliwy kod, niczego nie zauważa |
Zapisane tokeny do GitHuba, npm, AWS | Służą tylko programiście | Są wysyłane przestępcy przez HTTPS, API GitHuba i kanały DNS |
Menedżer haseł 1Password w wierszu poleceń | Otwarta sesja ułatwia pracę | Zawartość aktywnej sesji może zostać odczytana |
Klucze SSH i pliki .env z hasłami do baz | Leżą na dysku programisty | Trafiają do przestępcy razem z dostępem do serwerów |
Restart komputera | Zamyka wszystkie programy | Na macOS złośliwy program uruchamia się ponownie (mechanizm LaunchAgent) |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy zagrożeń, oparty na opisie z analizy producenta. To scenariusz poglądowy dla firmy, której programista miał Nx Console z automatyczną aktualizacją. Przestępca nie musi niczego wysyłać do Twojej firmy: wystarczy, że edytor sam pobierze skażoną wersję.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przejęcie dostawcy | T-7 dni | Kradzież tokenu współtwórcy Nx przez wcześniejszy atak na pakiety @tanstack w npm | Przestępca może publikować w imieniu projektu |
2. Publikacja | T+0 min | Wgranie fałszywej wersji 18.95.0 do Visual Studio Marketplace i Open VSX | Sklepy udostępniają ją jak zwykłe wydanie |
3. Automatyczna instalacja | T+kilka minut | Edytory z włączoną automatyczną aktualizacją pobierają nową wersję | Złośliwy kod trafia na komputery programistów |
4. Uruchomienie i utrwalenie | T+kilka minut | Rozszerzenie pobiera zaciemniony ładunek, zapisuje pliki startowe | Program działa w tle, także po restarcie |
5. Kradzież poświadczeń | T+kilka do kilkudziesięciu minut | Zbieranie tokenów GitHub, npm, AWS, Vault, kluczy SSH, plików .env, konfiguracji Dockera i GCP | Przepustki do systemów firmy i klientów u przestępcy |
6. Wykorzystanie dostępu | T+dni do tygodni | Logowanie do repozytoriów kodu i chmury, kradzież danych, dalsze ataki | Wyciek kodu i danych, możliwy szantaż lub ransomware |
Komputer programisty to pęk kluczy do całej infrastruktury: repozytoriów kodu, chmury, baz danych i systemów produkcyjnych. Aktualizacja rozszerzenia usuwa złośliwy program, ale nie odbiera przestępcy przepustek, które zdążył wysłać. Dlatego szkoda nie zależy od tego, jak krótko fałszywa wersja była w sklepie, tylko od tego, co leżało na zainfekowanym komputerze.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana wszystkich kluczy i tokenów, wstrzymanie wdrożeń, reinstalacja komputerów | Godziny do dni od wykrycia | 20 tys. do 150 tys. PLN (praca zespołu, przestój projektów) |
Bezpieczeństwo danych | Wyciek kodu źródłowego, danych klientów z baz, sekretów z chmury | Dni od infekcji | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Nieautoryzowane koszty chmury, żądanie okupu, kary umowne wobec klientów | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, dla których firma tworzy oprogramowanie | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla typowej firmy z zespołem programistów
Wpływ
5 | . ■ . . . ← WYSOKIE (wpływ krytyczny, szansa niska)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Firma, której komputer pobrał wersję 18.95.0:
to już nie ryzyko, tylko incydent do obsłużenia. Interpretacja: prawdopodobieństwo dla przeciętnej firmy jest niskie, bo skażona wersja była dostępna kilkadziesiąt minut i nie wróci, ale wpływ jest maksymalny, więc sama weryfikacja, czy ktoś ją pobrał, to zadanie KRYTYCZNE na dziś.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, kto w firmie i u wykonawców używa Nx Console w VS Code lub Cursor i czy miał włączoną automatyczną aktualizację w maju 2026 roku | Dziś | CTO / kierownik zespołu |
2 | 🔴 NATYCHMIAST | Na tych komputerach sprawdzić wskaźniki włamania z biuletynu producenta: pliki kitty/cat.py, com.user.kitty-monitor.plist, .gh_update_state, procesy cat.py lub ze zmienną __DAEMONIZED | Dziś | Administrator / programista |
3 | 🔴 NATYCHMIAST | Jeśli wskaźniki są obecne: odłączyć komputer od sieci, zaktualizować rozszerzenie do 18.100.0 lub nowszej, zatrzymać procesy, usunąć pliki (na macOS najpierw wyładować LaunchAgent) | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Wymienić wszystkie poświadczenia dostępne z tego komputera: tokeny GitHub i npm, klucze AWS i GCP, tokeny Vault, klucze SSH, hasła z plików .env, dane z 1Password | Dziś | CTO / administratorzy systemów |
5 | 🟠 PILNIE | Przejrzeć logi dostępu GitHuba, chmury i serwerów od 11 maja 2026 roku pod kątem nieznanych logowań i nowych zasobów | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zażądać od wykonawców pisemnego oświadczenia, czy ich komputery z dostępem do Twoich systemów były dotknięte | Do 3 dni | CTO / opiekun umowy |
7 | 🟡 WAŻNIE | Wprowadzić listę dozwolonych rozszerzeń edytora i zasadę, że nowe wersje instaluje się z opóźnieniem | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Usunąć stałe hasła z plików .env na laptopach, przejść na krótkotrwałe tokeny i menedżer sekretów | Do 90 dni | CTO / zespół DevOps |
Producent wydał czystą wersję 18.100.0, a skażona 18.95.0 została usunięta ze wszystkich sklepów, więc aktualizacja jest dostępna. Poniższe miary nie zastępują wymiany poświadczeń, tylko ograniczają podobne ataki w przyszłości. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie automatycznej aktualizacji rozszerzeń i aktualizowanie ich po kilku dniach od wydania | Wysoka wobec krótkotrwałych fałszywych wydań | Łatwa, wymaga dyscypliny zespołu |
Lista dozwolonych rozszerzeń zarządzana centralnie | Średnia: ogranicza liczbę możliwych dróg ataku | Średnia |
Minimalny wiek pakietów w menedżerze pakietów (np. 7 dni), z weryfikacją, że wersja narzędzia go obsługuje | Wysoka wobec podobnych ataków w npm | Średnia: producent opisał, że źle przypięta wersja pnpm po cichu zignorowała to ustawienie |
Krótkotrwałe tokeny zamiast stałych haseł na laptopach | Wysoka: skradziony token szybko traci ważność | Trudna, wymaga zmian w procesach |
Monitorowanie wyjściowego ruchu DNS i HTTPS z komputerów deweloperskich | Niska do średniej jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o ekspozycji | Nikt nie wie, czy ktoś pobrał 18.95.0 | Lista komputerów sprawdzona, wynik udokumentowany |
Skradzione poświadczenia | Nadal ważne i w rękach przestępcy | Unieważnione i zastąpione nowymi |
Złośliwy program | Może działać w tle po każdym restarcie | Usunięty lub komputer zreinstalowany |
Wykonawcy | Brak informacji o ich stanie | Pisemne potwierdzenie i ewentualnie odcięty dostęp |
Aktualizacje rozszerzeń | Automatyczne, natychmiastowe | Kontrolowane, z opóźnieniem i listą dozwolonych |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Złośliwy kod działał u użytkowników, którzy pobrali wersję 18.95.0 |
Grupy przestępcze | Brak publicznych informacji o nazwie grupy. Producent łączy incydent z wcześniejszym atakiem na pakiety @tanstack w npm z 11 maja 2026 roku |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 9.3 KRYTYCZNA wg GitHub (CVSS 4.0) |
PoC dostępny publicznie? | Nie dotyczy w zwykłym sensie: to gotowy złośliwy kod, a nie błąd do wykorzystania. Skażona wersja została usunięta ze sklepów |
Liczba atakowanych firm | Brak danych o firmach. Producent podaje: 28 instalacji w Visual Studio Marketplace, 41 pobrań z 21 adresów IP w Open VSX i około 6000 uruchomień rozszerzenia w wersji 18.95.0 według własnej telemetrii |
Prognoza EPSS | Poniżej 2% szansy masowego wykorzystania (wg analizy źródłowej), bo skażona wersja zniknęła ze sklepów; nie zmienia to sytuacji firm, które ją pobrały |
Sygnały zagrożenia dla CVE-2026-48027
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (GitHub) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (analiza źr.) <2% █░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ wykorzystanie potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-05-11 Atak na pakiety @tanstack w npm, kradzież tokenu
współtwórcy Nx (wg analizy producenta)
2026-05-18 Publikacja fałszywej wersji 18.95.0, 12:30-13:09 UTC
/19 (analiza producenta: 18 maja; NVD i biuletyn GitHub: 19 maja)
2026-05-21 Producent publikuje analizę incydentu, bezpieczne 18.100.0+
2026-05-27 Publikacja CVE-2026-48027 w NVD i wpis do katalogu CISA KEV
2026-06-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 3 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta ze wskaźnikami włamania i instrukcją naprawy: GHSA-c9j4-9m59-847w . Analiza incydentu: nx.dev/blog/nx-console-v18-95-0-postmortem . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-48027 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić inwentaryzację rozszerzeń edytorów u programistów i wykonawców, ze szczególnym uwzględnieniem Nx Console | CTO | DZISIAJ |
2 | Otrzymać pisemny wynik sprawdzenia wskaźników włamania na każdym komputerze z Nx Console | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową wymianę poświadczeń, jeśli jakikolwiek wskaźnik został znaleziony | CTO | DZISIAJ |
4 | Wysłać wykonawcom zapytanie o ekspozycję i termin odpowiedzi | CTO | DO JUTRA |
5 | Sprawdzić rachunki chmury (AWS, GCP) od 18 maja 2026 roku pod kątem nietypowych kosztów | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd logów coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowach z wykonawcami obowiązek zgłaszania incydentów i warunki polisy cyberubezpieczenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy ktokolwiek w firmie lub u wykonawców używa rozszerzenia Nx Console? | TAK / NIE | 🔴 |
2 | Czy w maju 2026 roku na którymkolwiek komputerze była zainstalowana wersja 18.95.0? | TAK / NIE, [lista komputerów] | 🔴 |
3 | Jaką wersję Nx Console mamy obecnie zainstalowaną? | [wersja] | 🔴 |
4 | Czy sprawdziliśmy wskaźniki włamania z biuletynu producenta i kiedy? | TAK / NIE, [data] | 🔴 |
5 | Jakie tokeny, klucze i hasła były dostępne z komputerów programistów i czy je wymieniliśmy? | [lista], [data wymiany] | 🟠 |
6 | Czy logi GitHuba i chmury od 11 maja 2026 roku zostały przejrzane? | TAK / NIE, [data] | 🟠 |
7 | Czy mamy listę dozwolonych rozszerzeń edytora i kontrolę ich aktualizacji? | TAK / NIE | 🟡 |
CVE-2026-48027 to fałszywa wersja 18.95.0 rozszerzenia Nx Console, która w maju 2026 roku przez kilkadziesiąt minut była w sklepach z rozszerzeniami i kradła z komputerów programistów tokeny, klucze i hasła. CISA potwierdza wykorzystanie, także w kampaniach ransomware. Sama aktualizacja do 18.100.0 nie wystarczy: firma, której komputer pobrał skażoną wersję, musi wymienić wszystkie poświadczenia i przejrzeć logi.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.