Miasma-Lieferkette: Warum gültige Signaturen plötzlich nicht mehr reichen
Seit dem 1. Juni 2026 zieht ein selbst verbreitender Wurm namens Miasma durch das npm-Ökosystem, also durch die Paketquelle der Javascript-Welt. Er startete mit 32 manipulierten Paketen in mehr als 90 Versionen unter einem Red-Hat-Namensraum, erreichte wenige Tage später Microsoft – und er läuft weiter. Am 14. Juli traf es drei Pakete des Asyncapi-Generators, die zusammen über zwei Millionen Downloads pro Woche haben. Doch bemerkenswert daran ist etwas anderes. Für all das gibt es keine CVE-Nummer, also keinen Eintrag in der üblichen Schwachstellen-Datenbank, und die gängigen Prüfwerkzeuge melden sauber.
Der Grund dafür ist unbequem. Der Angriff nutzt keine Lücke in npm oder Github aus, sondern das Vertrauensmodell dieser Plattformen. Die Schadpakete tragen gültige Signaturen, stammen aus legitimen Namensräumen mit echten Maintainern und wurden über den regulären Weg veröffentlicht. Aus Sicht der Plattform sind sie von einem Routine-Update nicht zu unterscheiden. Wir zeigen, wie der Wurm an gültige Signaturen kommt, warum die üblichen Werkzeuge ihn nicht sehen und wo Dev-Teams jetzt nachsehen sollten.