June 20, 2026

TrapDoor: Über Nacht sind 34 Pakete verdorben – und eine 3-Tage-Regel hätte das verhindert

Ende Mai 2026 deckten Sicherheitsforscher eine supply chain-Kampagne auf, die unter dem Namen TrapDoor bekannt wurde. Mehr als 34 bösartige Pakete wurden ungefähr zur gleichen Zeit auf PyPI, npm und Crates.io veröffentlicht. Sie waren weder fehlerhaft noch defekt – sie waren so programmiert, dass sie unmittelbar nach der Installation oder dem Import bösartigen Code ausführten, SSH-Schlüssel und Anmeldedaten vom Rechner abgriffen und an die Angreifer sendeten (berichtet von The Hacker News](https://thehackernews.com/2026/05/trapdoor-supply-chain-attack-spreads.html) , 25. Mai 2026).