🚨 Инцидент безопасности в CI-инфраструктуре Node.js (март 2025)

15 марта 2025 года команда Node.js обнаружила, что одна из CI-систем проекта (Continuous Integration) была скомпрометирована. Вредоносный код был внедрён злоумышленником в один из раннеров CI, использовавшийся для тестирования pull request’ов.

🔍 Что произошло:

* Компрометация произошла через GitHub Actions Runner в одном из fork-репозиториев.
* Вредоносный код собирал данные из окружения и передавал их на внешний сервер.
* Он не повлиял на релизы Node.js, так как релизные артефакты собираются в отдельной, изолированной инфраструктуре.

✅ Что было сделано:

* Сразу после обнаружения CI-инфраструктура была остановлена.
* Проведён аудит безопасности.
* Все секреты и ключи доступа были отозваны и заменены.
* Перепроверены все последние релизы на предмет возможной компрометации.

🧯 Вывод:

* Сам Node.js, его исходный код и дистрибутивы не были скомпрометированы.
* Инцидент затронул только инфраструктуру, обслуживающую внешние PR.
* Сейчас CI-инфраструктура запускается в обновлённой, безопасной конфигурации.

🛡 Рекомендации:

* Пользователям и разработчикам не нужно предпринимать никаких действий, если вы скачивали Node.js с официального сайта или используете его из проверенных источников.

https://nodejs.org/en/blog/vulnerability/march-2025-ci-incident

✍️ @nodejs_lib