Paquete malicioso de Bitwarden CLI 2026.4.0 distribuido vía npm debido a un ataque de cadena de suministro de Checkmarx

Mensaje de Gate News, 24 de abril — El equipo de seguridad de Bitwarden ha divulgado que la versión 2026.4.0 de Bitwarden CLI fue comprometida como resultado de un ataque de cadena de suministro de Checkmarx, con paquetes maliciosos distribuidos a través de npm el 22 de abril entre las 5:57 p.m. y las 7:30 p.m. ET. Solo los usuarios que instalaron la versión afectada durante esta ventana de tiempo específica están impactados.

El equipo confirmó que no se filtraron datos de Vault y que no se comprometieron los sistemas de producción. Se recomienda a los usuarios desinstalar inmediatamente la versión 2026.4.0, borrar la caché de npm, rotar tokens de API y claves SSH, revisar GitHub y los entornos de CI para detectar actividades sospechosas, y actualizar a la versión 2026.4.1.

El equipo de seguridad de Bitwarden continúa monitoreando el incidente y ha recomendado que los usuarios afectados tomen estas precauciones para asegurar sus sistemas.