Bitwarden CLI gehackt: Malware in npm-Paket stiehlt Developer-Credentials
Das npm-Paket @bitwarden/cli wurde kompromittiert und mit einer Credential-Stealing-Malware versehen, wie Bleeping Computer meldet. Angreifer luden eine bösartige Version hoch, die in der Lage war, Entwickler-Anmeldedaten zu exfiltrieren und sich auf abhängige Projekte auszubreiten. Das Paket war nur kurzzeitig verfügbar, bevor es entfernt wurde — ein klassisches Muster bei npm-Supply-Chain-Attacken, bei denen legitime Repositories als Vektor für Malware-Verbreitung genutzt werden.
Die Bitwarden-CLI ist ein weit verbreitetes Tool unter Sicherheits- und DevOps-Teams. Der Angriff unterstreicht ein fundamentales Risiko: Entwicklungstools, die tiefe Zugriffe auf Systeme und Credentials benötigen, sind hochwertige Ziele für Supply-Chain-Sabotage. Laut Help Net Security zeigt sich diese Woche eine Häufung kritischer Sicherheitsvorfälle — von Linux-Kernel-Schwachstellen bis zu mass-exploitierten cPanel-Flaws (CVE-2026-41940), die in "Sorry"-Ransomware-Kampagnen genutzt werden. Das Muster ist klar: Infrastruktur-Tools sind im Fokus.
Für DACH-Mittelstand und Enterprise ist das relevant, weil npm-Dependencies nicht nur Code, sondern auch Vertrauensketten beinhalten. Die EU-Richtlinie NIS2 fordert Sichtbarkeit über Supply-Chain-Risiken. Unternehmen, die Bitwarden CLI oder ähnliche Tools nutzen, müssen nicht nur Updates einspielen, sondern auch überprüfen, ob kompromittierte Credentials bereits exfiltriert wurden. Ein Datenleck von Developer-Tokens kann zu unbemerktem Zugriff auf Git-Repos, Cloud-Konten oder CI/CD-Pipelines führen — potentiell über Wochen hinweg.
Konkrete Maßnahme jetzt: Rotiere alle Secrets und API-Keys, die von Entwicklern verwendet werden, die @bitwarden/cli in den letzten Wochen aktualisiert haben. Nutze npm-Audit und Tools wie Snyk oder Dependabot, um Supply-Chain-Risiken kontinuierlich zu monitoren. Für KI-Pentesting-Teams: Verifiziere, dass LLM-basierte Code-Analyse-Tools nicht automatisch Dependencies aus verdächtigen Quellen ziehen — ein weiteres Angriffsvektors-Potenzial.
Mehr zum Thema Sicherheit in Developer-Pipelines findest du in unserer KI-Pentesting-Pillar und im konkreten Red-Team-Playbook für LLM-Apps mit 50 Test-Punkten.