資料性質：本篇只整理官方公開資料，並非暗網消息；公告、目錄收錄或公開報告本身，不等於所有相關系統均已遭入侵。
摘要
CISA KEV 5 月資料收錄開發工具與套件發布事件；CERT-EU 3 月至 5 月月報也持續記錄 npm、PyPI 與開發工具供應鏈風險。共同訊號是需要保護發布權限、依賴鎖定與建置憑證。
資料來源與觀察日期
來源日期：2026-07-19；本次觀察回溯不超過 88 天。
已確認資訊
- KEV 5 月 27 日群組包含 Nx Console、TanStack 與 Daemon Tools Lite。
- CERT-EU 3 月、4 月與 5 月月報均提到開發生態系供應鏈事件。
- 兩個官方來源都提供公開日期與可追溯的原始頁面。
尚未確認與限制
- 不同事件沒有證據顯示由同一攻擊者操作；本文只比較防禦面，不合併歸因。
- 觀察不包含第三方 Onion 來源、私人瀏覽紀錄或未核准聚合內容。
可能影響
建議限制套件發布權限、要求多因素驗證、鎖定依賴、保存可重現建置證據並建立憑證撤銷流程。
支持證據
- 使用的 CISA 與 CERT-EU 頁面均為官方公開來源，並保留日期與樣本範圍。
- 文章只比較來源直接支持的防禦訊號，不新增攻擊者、受害者或外洩資料敘事。
反對證據或證據限制
不同事件沒有證據顯示由同一攻擊者操作；本文只比較防禦面，不合併歸因。
可信度與危險程度
可信度分數：90/100；危險程度：1/5。可信度反映來源與敘述可驗證程度；危險程度反映本文保留的內容敏感度，不代表漏洞技術嚴重度。
安全聲明
本文僅整理公開或經去識別化處理的威脅情報，不提供地下服務地址、外洩個資、帳號密碼、惡意程式、交易方式或攻擊操作。
最後更新時間
2026 年 7 月 19 日（America/Vancouver）