据 StepSecurity 披露，Rust 软件包 arrayref、internment 和 append-only-vec 的恶意版本被植入 proc-macro1 等恶意依赖，攻击者可通过 Rust 的构建脚本在项目编译时下载并执行远程载荷。相关版本分别为 arrayref 0.3.10、internment 0.8.7 和 append-only-vec 0.1.9，总下载量约 2.64 亿次；攻击暴露窗口为 2026 年 8 月 20 日 07:11 至 09:25（UTC）。相关恶意版本及 6 个攻击者控制的软件包已从 crates io 删除，发布账户已被锁定，安全版本分别为 0.3.9、0.8.6 和 0.1.8。 https://wublock123.com/news/rust-ecosystem-3-crates-supply-chain-attack-remote-code-execution-66935(吴说区块链)