开发者请注意：Polyfill出现供应链攻击调用该脚本会跳转到非法网站
内容提要
Polyfill.js被供应链攻击感染，已被修改以将用户重定向到恶意网站。开发者报告了问题，但反馈被删除。为避免进一步损害，建议开发者从网站中移除Polyfill.js。Google已采取行动，阻止使用Polyfill.js的所有网站使用其Google Ads广告系统。
延伸解读
供应链攻击的典型手法
攻击者通过购买Polyfill.js的域名和GitHub账户，直接篡改脚本进行投毒。这种供应链攻击利用开发者对上游依赖的信任，影响范围极广。与攻击开发者账户相比，购买现有资产更省力且难以防范，凸显了第三方依赖的潜在风险。
隐蔽的跳转策略
恶意脚本设置了多种规避检测的措施：仅对搜索引擎来源的访问跳转，检测到管理员访问时不跳转，并采用延时和随机跳转。这些手段增加了分析和发现的难度，使得攻击行为更隐蔽，普通用户和网站管理员都难以察觉。
对电商与广告的连锁影响
由于大量电商网站为兼容旧版浏览器而使用Polyfill.js，攻击影响被放大。谷歌已批量屏蔽使用该脚本的网站在Google Ads投放广告，以避免用户点击广告后跳转到非法网站。这可能导致相关网站广告收入受损，并促使其尽快移除脚本。
开发者的应对建议
Polyfill.js原作者已建议停止使用该脚本，现代浏览器不再需要它。开发者应立即从网站中移除Polyfill.js并清理缓存，以消除跳转风险。对于仍依赖旧版浏览器支持的网站，需寻找替代方案，并加强对第三方依赖的监控。
Q&A
Polyfill.js遭到什么类型的攻击？
Polyfill.js遭到供应链攻击，已被修改为重定向用户到恶意网站。
开发者应该如何应对Polyfill.js的安全问题？
开发者应立即从网站中移除Polyfill.js，以避免进一步损害。
为什么Polyfill.js的反馈被删除？
因为拥有该账户的公司故意删除反馈，以避免更多开发者知晓问题。
Polyfill.js的攻击是如何实施的？
攻击者通过购买域名和Github账户，修改脚本进行投毒，用户通过搜索引擎访问时会被重定向。
谷歌对使用Polyfill.js的网站采取了什么措施？
谷歌已在其广告系统中屏蔽所有使用Polyfill.js的网站，避免其投放广告。
使用Polyfill.js的主要风险是什么？
主要风险是用户会被重定向到非法网站，可能导致投诉或其他问题。
