Trail of Bits прогнала 25 пакетных менеджеров через смоделированный взломанный репозиторий. Только Go и vcpkg проверяли хэши по умолчанию, подписи по умолчанию — только Go, а часть систем не проверяет целостность даже при lockfile.
Релиз Homebrew 7.0.0 прекращает поддержку macOS 10.15 и старше — для них больше не будет бутылок и .pkg установщиков. В новой версии brew config собирает данные о системе параллельно, а brew update подготавливает кэши Ruby, чтобы последующие команды запускались быстрее. Также удалены устаревшие интерфейсы и переименован ряд пакетов.
Проект Ant предлагает JavaScript-экосистему вокруг собственного runtime с отдельным JS engine, плюс package manager, registry ants.land, платформу для деплоя и hosting, и даже Ant Desktop для нативных desktop-приложений на веб-технологиях. Это уже не просто «ещё один рантайм», а попытка собрать сразу весь стек — от исполняющей среды до места, где ваше приложение должно как-то жить после запуска.
Пост с HN цитирует статью в духе «No way to prevent this» — то есть очередной разбор того, как в package manager регулярно просачивается вредоносный мусор. Конкретные детали зависят от истории, но сама формулировка уже говорит за всё: supply chain продолжает жить по принципу «запретить сложно, а вот залить — секундное дело».