LuaRocks полгода хостили шелл на сервере: RCE через загрузку rockspec
25 сентября 2026 получен отчёт об RCE в LuaRocks.org через CISA. Уязвимость (loadstring не фильтровал байткод LuaJIT) была активна с 9 июля по 20 августа — злоумышленник создал три аккаунта, опубликовал пакеты bcrcewon, 7e0b94029db0 и 7e0b9402f9c8 и открывал reverse shell. Все API-ключи и 2FA-секреты скомпрометированы, рекомендована смена паролей и апдейт до LuaRocks 3.12+.