Złośliwa aktualizacja Bitwarden CLI. Jak sprawdzić, czy jesteś bezpieczny?

22 kwietnia 2026 roku przez półtorej godziny w repozytorium npm dostępna była złośliwa wersja pakietu Bitwarden CLI (2026.4.0). Badacze z Socket odkryli, iż malware wykradał poświadczenia – tokeny GitHub i npm, klucze SSH, sekrety chmurowe oraz dane konfiguracyjne narzędzi AI. Incydent wpisuje się w szerszą kampanię supply chain, która wcześniej dotknęła infrastrukturę Checkmarx. Użytkowników Bitwardena nurtuje jedno pytanie: czy pobraliście tę wersję i co teraz zrobić?

Co dokładnie się wydarzyło?

Atakujący – grupa TeamPCP – najprawdopodobniej wykorzystali wykradzione tokeny, aby opublikować złośliwy pakiet w oficjalnym kanale dystrybucji npm. Złośliwy kod uruchamiał się przez hook preinstall pliku bw_setup.js. Ładował on zaciemniony payload JavaScript, który zbierał dane z lokalnego środowiska ofiary. Jak podkreślają badacze z JFrog Security, skradzione informacje były serializowane, kompresowane i szyfrowane – najpierw symetrycznie, potem asymetrycznie. Eksfiltracja odbywała się dwoma kanałami: podstawowym (serwer C2 podszywający się pod domenę Checkmarx) i zapasowym (GitHub, gdzie tworzone było nowe repozytorium na koncie ofiary).

Bitwarden w oficjalnym komunikacie na forum oświadczył, że nie ma dowodów na przejęcie sejfów z hasłami. Atak dotyczy wyłącznie interfejsu CLI, a nie aplikacji desktopowych, mobilnych ani rozszerzeń przeglądarkowych. Mimo to skala potencjalnych szkód jest duża – malware przejmował tokeny dostępu do usług chmurowych, systemów CI/CD i repozytoriów kodu.

Kto jest zagrożony?

Ryzyko dotyczy wyłącznie użytkowników, którzy pobrali lub zaktualizowali Bitwarden CLI do wersji 2026.4.0 w oknie czasowym 22 kwietnia 2026. Pakiet nie jest już dostępny w npm. Jeśli korzystasz z Bitwardena wyłącznie przez przeglądarkę, aplikację mobilną lub desktopową – incydent cię nie dotyczy. Zagrożenie jest realne przede wszystkim dla administratorów, programistów i specjalistów DevOps, którzy używają CLI do automatyzacji zarządzania hasłami.

Jak bezpiecznie zareagować?

Jeśli masz choćby cień wątpliwości, czy twoje środowisko mogło mieć styczność ze złośliwą wersją, wykonaj następujące kroki:

• Usuń pakiet – odinstaluj Bitwarden CLI w wersji 2026.4.0 z wszystkich maszyn.
• Zresetuj poświadczenia – zmień tokeny GitHub, npm, klucze SSH, sekrety AWS, GCP, Azure oraz wszelkie klucze API, które były przechowywane na urządzeniu. Nie ograniczaj się tylko do haseł – malware mógł przejąć również sesje i tokeny odświeżania.
• Sprawdź repozytoria GitHub – zajrzyj na swoje konto GitHub i usuń nieznane repozytoria utworzone przez malware (katalog results).
• Zainstaluj ponownie – pobierz najnowszą, czystą wersję CLI bezpośrednio z oficjalnego repozytorium Bitwarden lub zweryfikuj sumę kontrolną pakietu.

Szczegółowe wskazówki dotyczące remediacji zebrali badacze z JFrog – warto się z nimi zapoznać, jeśli zarządzasz wieloma maszynami.

Czy to oznacza, że menedżery haseł są niebezpieczne?

Nie. Incydent dotyczy ataku na łańcuch dostaw, a nie słabości samego menedżera haseł. Bitwarden CLI to narzędzie dla zaawansowanych użytkowników, a złośliwa wersja była dostępna bardzo krótko. Korzyści z używania silnych, unikalnych haseł dla każdego konta – i przechowywania ich w sprawdzonym menedżerze – wciąż przewyższają ryzyko. Warto jednak pamiętać, że każde narzędzie CLI, które ma dostęp do tokenów i kluczy, powinno być aktualizowane wyłącznie z oficjalnych, zweryfikowanych źródeł.

Atak na Bitwarden CLI to kolejne przypomnienie, że bezpieczeństwo łańcucha dostaw oprogramowania wymaga czujności. Weryfikacja sum kontrolnych, używanie skanerów zależności i ograniczenie zaufania do automatycznych aktualizacji to praktyki, które warto wdrożyć w każdej organizacji.