文章总结： Checkmarx公司确认JenkinsAST插件遭TeamPCP团伙篡改并发布至Jenkins市场，建议用户立即检查插件版本并使用2025年12月17日前发布的2.0.13-829.vc72453fa_1c16版本。这是该团伙针对Checkmarx的第二次供应链攻击，暴露了软件供应链的信任漏洞，安全机构指出攻击者可能利用未彻底修复的凭据再次入侵。 综合评分： 78 文章分类： 供应链安全,恶意软件,漏洞预警,安全事件,解决方案

Checkmarx 再遭攻击，Jenkins AST 插件受陷

Ravie Lakshmanan Ravie Lakshmanan

代码卫士

2026年5月12日 17:53 北京

在小说阅读器读本章

去阅读

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

Checkmarx公司证实称Jenkins AST 插件被修改且被发布到 Jenkins 市场。

Checkmarx 公司在当地时间上周末发布声明称，“如果用户使用的是 Checkmarx Jenkins AST 插件，则需确保使用的版本是在2025年12月17日或之前日期发布的 2,0.13-829.vc72453fa_1c16 版本。”

截止本文成稿前，Checkmarx 公司已在 GitHub 和 Jenkins 市场发布了2.0.13-848.v76e89cd8a_053版本，但它在事件更新说明中仍然提到“正在发布该插件的新版本”，且并未披露该恶意插件版本以何种方式被发布。

这是 TeamPCP 团伙针对 Checkmarx 公司的再次攻击。几周前，这一臭名昭著的网络犯罪团伙攻陷 Checkmarx 公司的 KICS Docker 镜像、两个VS Code 扩展以及一个 GitHub Actions 工作流，用于推送凭据窃取恶意软件。该攻击导致 Bitwarden CLI npm 包短暂受陷，并被安装类似窃取器窃取大量开发人员密钥。

TeamPCP 被指自2026年3月起发动一系列攻击活动，利用软件供应链的固有信任，传播恶意软件并扩大触及范围。网络安全研究员 Adnan Khan 和 SOCRadar 表示，TeamPCP 被指已获得对该插件 GitHub 仓库的未授权访问权限并将其更名为 “Checkmarx-Fully-Hacked-by-TeamPCP-and-Their-Customers-Should-Cancel-Now.”。另外，被涂鸦的仓库也被更新并附加说明：”Checkmarx 再次未更换密钥，爱你的——TeamPCP。”

SOCRadar 表示，“仅仅几周后，TeamPCP 就能再次返回 Checkmarx 系统，说明要么最初的修复措施不完整以及凭据未能完全更换，要么在三月份的响应过程中未能识别出该团伙的立足点。Checkmarx 公司第二次安全事件发生的如此之快，说明该团伙正在活跃观察再次进入的入口点、测试之前修复方案的深度并加以利用任何弱点。”

开源卫士试用地址：https://sast.qianxin.com/#/login

代码卫士试用地址：https://codesafe.qianxin.com

推荐阅读

在线阅读版：《2025中国软件供应链安全分析报告》全文

Gemini CLI 严重漏洞可触发 RCE 攻击和软件供应链风险

自传播供应链蠕虫劫持 npm 包，窃取开发人员令牌

Axios 严重漏洞可导致 RCE

Trivy供应链攻击触发CanisterWorm 在47个 npm 包中自传播

热门包管理器中存在多个漏洞，JavaScript 生态系统易受供应链攻击

开源自托管平台 Coolify 修复11个严重漏洞，可导致服务器遭完全攻陷

得不到就毁掉：第二轮Sha1-Hulud供应链攻击已发起，影响2.5万+仓库

vLLM 高危漏洞可导致RCE

开源AI框架 Ray 的0day已用于攻陷服务器和劫持资源

热门 React Native NPM 包中存在严重漏洞，开发人员易受攻击

10个npm包被指窃取 Windows、macOS 和 Linux 系统上的开发者凭据

热门 React Native NPM 包中存在严重漏洞，开发人员易受攻击

热门NPM库 “coa” 和“rc” 接连遭劫持，影响全球的 React 管道

开发人员注意：VSCode 应用市场易被滥用于托管恶意扩展

GitHub Copilot 严重漏洞可导致私有仓库源代码被盗

受 Salesforce 供应链攻击影响，全球汽车巨头 Stellantis 数据遭泄露

捷豹路虎数据遭泄露生产仍未恢复，幕后黑手或与 Salesforce-Salesloft 供应链攻击有关

十几家安全大厂信息遭泄露，谁是 Salesforce-Salesloft 供应链攻击的下一个受害者？

第三方集成应用 Drift OAuth 令牌被用于攻陷 Salesforce 实例，全球700+家企业受影响

黑客发动史上规模最大的 NPM 供应链攻击，影响全球10%的云环境

十几家安全大厂信息遭泄露，谁是 Salesforce-Salesloft 供应链攻击的下一个受害者？

第三方集成应用 Drift OAuth 令牌被用于攻陷 Salesforce 实例，全球700+家企业受影响

AI供应链易遭“模型命名空间复用”攻击

Frostbyte10：威胁全球供应链的10个严重漏洞

PyPI拦截1800个过期域名邮件，防御供应链攻击

PyPI恶意包利用依赖引入恶意行为，发动软件供应链攻击

黑客利用虚假 PyPI 站点钓鱼攻击Python 开发人员

700多个恶意误植域名库盯上RubyGems 仓库

NPM “意外” 删除 Stylus 合法包 全球流水线和构建被迫中断

固件开发和更新缺陷导致漏洞多年难修，供应链安全深受其害

NPM仓库被植入67个恶意包传播恶意软件

在线阅读版：《2025中国软件供应链安全分析报告》全文

NPM软件供应链攻击传播恶意软件

隐秘的 npm 供应链攻击：误植域名导致RCE和数据破坏

NPM恶意包利用Unicode 隐写术躲避检测

Aikido在npm热门包 rand-user-agent 中发现恶意代码

密币Ripple 的NPM 包 xrpl.js 被安装后门窃取私钥，触发供应链攻击

原文链接

https://thehackernews.com/2026/05/teampcp-compromises-checkmarx-jenkins.html

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 Ravie Lakshmanan Ravie Lakshmanan《Checkmarx 再遭攻击，Jenkins AST 插件受陷》