红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户，通过NPM发布恶意软件包。这些软件包利用迷你沙虫变种，窃取开发环境中的敏感凭证，影响多个企业级开发者。

Aikido Security首席执行官Willem Delbare指出，AI代理在软件包安装中缺乏责任归属，增加了企业的安全风险。为此，Aikido推出了Aikido Endpoint，能够实时监控和阻止恶意软件，帮助企业安全地采用AI开发流程。市场上其他公司如Socket和Endor Labs也提供类似的安全解决方案。Delbare强调，安全团队应制定政策，确保开发者在安全框架内自由操作。

微软的Recall功能再次出现安全隐患。安全研究员Hagenah开发的TotalRecall Reloaded工具能够提取Recall捕获的数据，包括文本、邮件和浏览历史。尽管微软进行了安全重设计，Hagenah认为保护措施仍存在漏洞，可能被恶意软件利用。微软回应称未发现漏洞，但Hagenah质疑Recall存储了过多敏感数据，安全性仍需加强。

CPUID官网于4月9日至10日遭到入侵，导致HWMonitor和CPU-Z的下载链接指向恶意软件。虽然安装包未被篡改，但用户需检查电脑安全。CPUID已确认并修复该漏洞。

Linux恶意软件常隐藏在BPF套接字程序中，通过特定数据包保持潜伏。研究人员利用符号执行和Z3定理证明器，自动生成触发恶意过滤器的数据包，从而显著缩短分析时间。BPFDoor是一个复杂的Linux后门，主要用于网络间谍活动。结合Z3和Python库scapy，研究人员能够快速构建有效数据包，提高安全分析效率。

现代软件供应链安全性面临严重问题，攻击者利用CI/CD系统的脆弱性传播恶意软件，盗取凭证发布恶意工具，影响数万开发者。解决方案包括消除静态凭证、实施短期身份验证和加强代码审查，必须将CI/CD系统视为生产系统以防止供应链攻击的扩大。

近期，LiteLLM和Telnyx的供应链攻击导致恶意软件通过PyPI包传播，窃取用户凭证。攻击者利用API令牌注入恶意代码。PyPI正在与安全研究人员合作，加快恶意软件的检测与处理。开发者应采用依赖冷却策略和锁定依赖以增强安全性。

发现未审核的建议影响支持的软件包。如果严重性评分不正确或缺少受影响版本，请建议编辑。2025年，社区的675项贡献提升了软件行业的数据质量。

三星的Galaxy Z TriFold手机在美国发售，但购买困难。作者通过eBay以$4,399购得，发现手机已被设置并要求SIM卡，无法继续设置。怀疑手机可能存在恶意软件，认为三星并不真正想出售TriFold，而是制造稀缺感。最终，作者感到失望，手中只剩一部昂贵的纸镇。

WhatsApp工程团队将媒体处理库重写为Rust，代码量从16万行C++减少至9万行，提升了内存安全性。此举源于2015年Stagefright漏洞，旨在处理不可信数据。新库“万花筒”能够检测可疑文件，提升性能和内存使用效率。Meta计划在公司内推广Rust，预计未来几年将加速采用。

多个安全机构分析指出，2026年1月，第三方网站7zip[.]com的下载链接被替换为恶意软件链接update.7zip[.]cloud，可能导致用户设备受攻击。建议用户从官网7-zip.org下载，以避免假冒网站风险。

黑客控制了1999年注册的域名7zip.com，假冒7-Zip分发恶意软件，利用受害者的IP地址作为代理，难以被检测。安全公司已更新病毒库以拦截该域名。