#javascript

2026년 5월 11일 공격자가 GitHub Actions 취약점 세 가지를 연계해 42개 @tanstack/* 패키지에 악성 버전 84개를 게시했다. 설치한 개발자·CI 환경은 AWS·GCP·GitHub·npm·SSH 자격증명을 즉시 교체해야 한다.

Cloudflare는 2026년 3월 30일 advanced Client-Side Security 도구를 전체 사용자에게 개방했다고 밝혔다. Cloudflare 블로그에 따르면 이번 업데이트는 graph neural network와 LLM triage를 결합해 false positive를 최대 200배 줄이고, advanced 기능을 self-serve로 열면서 free bundle에 domain-based threat intelligence도 포함한다.

StepSecurity가 2026년 3월 31일 악성 axios 릴리스를 공개하면서 JavaScript ecosystem 전반에 경고가 퍼졌다. 문제의 버전은 유지보수자 계정 탈취와 가짜 dependency를 통해 RAT dropper를 배포한 것으로 분석됐다.