(g+) Miasma-Lieferkette: Warum gültige Signaturen plötzlich nicht mehr reichen

Summary

Golem Plus Artikel Miasma-Lieferkette: Warum gültige Signaturen plötzlich nicht mehr reichen Ein selbst verbreitender Wurm kapert npm-Pakete mit gültigen Signaturen. Worauf Dev-Teams jetzt achten sollten. 21. Juli 2026 um 13:30 Uhr / Ein Ratgebertext von Steffen Zahn Seit dem 1. Juni 2026 zieht ein selbst verbreitender Wurm namens Miasma durch das npm-Ökosystem, also durch die Paketquelle der Javascript-Welt. Er startete mit 32 manipulierten Paketen in mehr als 90 Versionen unter einem Red-Hat-Namensraum, erreichte wenige Tage später Microsoft – und er läuft weiter. Am 14. Juli traf es drei Pakete des Asyncapi-Generators, die zusammen über zwei Millionen Downloads pro Woche haben. Doch bemerkenswert daran ist etwas anderes. Für all das gibt es keine CVE-Nummer, also keinen Eintrag in der üblichen Schwachstellen-Datenbank, und die gängigen Prüfwerkzeuge melden sauber.Der Grund dafür ist unbequem. Der Angriff nutzt keine Lücke in npm oder Github aus, sondern das Vertrauensmodell dieser Plattformen. Die Schadpakete tragen gültige Signaturen, stammen aus legitimen Namensräumen mit echten Maintainern und wurden über den regulären Weg veröffentlicht. Aus Sicht der Plattform sind sie von einem Routine-Update nicht zu unterscheiden. Wir zeigen, wie der Wurm an gültige Signaturen kommt, warum die üblichen Werkzeuge ihn nicht sehen und wo Dev-Teams jetzt nachsehen sollten.