Supply-Chain-Angriff trifft VS-Code-Entwickler Manipulierte Nx-Console-Version stiehlt Zugangsdaten

Anbieter zum Thema

Aagon GmbH

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

Eine bösartige Version der VS-Code-Erweiterung Nx Console gelangte für wenige Minuten in zwei Marktplätze und verteilte sich über die au­to­ma­ti­sche Update-Funktion. Der eingeschleuste Code greift Zugangsdaten aus Entwicklerumgebungen ab und ermöglichte über eine mehrstufige An­griffs­kette den Zugriff auf interne GitHub-Repositories. Die US-Behörde CISA stuft den Vorfall als aktiv ausgenutzt ein.

Die Schwachstelle CVE-2026-48027 betrifft die Version 18.95.0 von Nx Console, der Be­nut­zer­ober­flä­che für die Monorepo-Build-Tools Nx und Lerna. Der CVE-Record bewertet den Fall mit dem kritischen CVSS-4.0-Wert 9.3 und ordnet ihn der Kategorie CWE-506 für eingebetteten Schadcode zu. Die manipulierte Erweiterung stand am 18.05.2026 kurzzeitig im Visual Studio Marketplace und im OpenVSX-Register bereit, im Marketplace rund 18 Minuten von 12.30 bis 12.48 Uhr UTC, in OpenVSX rund 36 Minuten von 12.33 bis 13.09 Uhr UTC. Version 18.100.0 enthält den Schadcode nicht.

Update: Neue Variante des Shai-Hulud Worm

Supply-Chain-Angriff trifft über 1.000 npm-Pakete

Verbreitung über die automatische Aktualisierung

Die Erweiterung verteilt sich in Visual Studio Code über einen automatischen Update-Me­cha­nis­mus. Systeme mit bereits installiertem Nx Console erhielten den manipulierten Build daher ohne manuelles Zutun der Entwickler. Dieser Verteilweg vergrößert die Reichweite eines kurzen Veröffentlichungsfensters, denn der Schadcode lief beim Einspielen oder Aktualisieren der Erweiterung an.

TeamPCP griff EU und Cisco an

Massive Supply-Chain-Angriffe über Trivy-Tool und Telnyx-PyPI

Angriffskette von TanStack bis GitHub

Der Vorfall reiht sich in eine mehrstufige Kette ein. Ausgangspunkt bildet ein vorheriger Supply-Chain-Angriff auf TanStack-Pakete (CVE-2026-45321). Über ein bösartiges npm-Paket geriet die Maschine eines Nx-Mitwirkenden unter Kontrolle, einige Tage später folgte die Veröffentlichung der präparierten Nx-Console-Version. Ein Maintainer meldete den Vorfall nach einer unerwarteten Publisher-Benachrichtigung.

Der eingeschleuste Code sammelt Zugangsdaten aus der Entwicklerumgebung, darunter Tokens für GitHub und npm, Zugangsschlüssel für Cloud-Dienste, SSH-Schlüssel und Sitzungen von Passwort-Managern. Nach Darstellung der CISA nutzten die Angreifer eine zuvor kom­pro­mit­tie­r­te Nx-Entwicklerumgebung, um über die vergiftete Erweiterung das Gerät eines GitHub-Mitarbeiters zu übernehmen und interne Repositories abzuziehen.

Analyse von Sysdig

So werden Self-hosted GitHub Actions Runner als Backdoors missbraucht

Bereinigung betroffener Systeme

Der Schadcode steckt allein in der Version 18.95.0 der Erweiterung. Die Nx-CLI und Nx Cloud bleiben außen vor. Die bereinigte Version 18.100.0 steht über die offiziellen Quellen bereit. Auf Systemen mit ausgeführtem Schad-Build sollten Administratoren die betroffenen Zu­gangs­da­ten erneuern, darunter SSH-Schlüssel, npm- und Cloud-Tokens sowie Git-Zugänge, und die Protokolle der CI/CD-Umgebung auf unautorisierte Aktionen prüfen. Die CISA hat CVE-2026-48027 am 27.05.2026 in ihren KEV-Katalog aufgenommen und US-Behörden eine Frist bis zum 10.06.2026 gesetzt. Die Priorisierung lässt sich auf europäische Organisationen übertragen.

Fazit

Der Fall zeigt das Risiko automatisch aktualisierter Entwickler-Erweiterungen mit weit­rei­chen­den Rechten in der Build- und Deployment-Kette. Ein Veröffentlichungsfenster von wenigen Minuten reicht für eine breite Verteilung über den Update-Kanal. Die kurze Verfügbarkeit der manipulierten Version mindert die Tragweite nicht, denn der Schadcode konnte beim automatischen Update unbemerkt anlaufen.

Rückblick 2025

20 Prozent mehr ausgenutzte Schwach­stellen im KEV-Katalog der CISA

(ID:50864009)