KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-1876011 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2026 年 5 月 14 日，npm 包 node-ipc 出现供应链投毒事件。攻击者向 npm 发布了恶意版本 node-ipc@9.1.6、node-ipc@9.2.3、node-ipc@12.0.1，并在 CommonJS 入口文件 node-ipc.cjs 中植入混淆后的凭据窃取载荷。当应用通过 require("node-ipc") 加载该包时，恶意代码会在后台执行，收集受影响环境中的敏感信息，包括环境变量、SSH 私钥、npm/GitHub Token、云厂商凭据、Kubernetes 配置、数据库凭据、CI/CD Secrets 以及部分 AI 工具配置等。收集到的数据会被压缩打包，并通过 DNS TXT 查询或 HTTPS 请求外传至攻击者控制的基础设施。
受影响版本
node-ipc 9.1.6
node-ipc 9.2.3
node-ipc 12.0.1
安全版本
node-ipc 9.2.1
node-ipc 12.0.0
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
1、排查项目依赖中是否存在受影响版本，若存在受影响版本，应立即升级或回退至已知安全版本。
2、云安全中心镜像应用漏洞均已支持检测
参考信息
https://www.landh.tech/blog/20260514-node-ipc-compromised/
https://www.stepsecurity.io/blog/node-ipc-npm-supply-chain-attack
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。