Arch User Repository, komunitní repozitář software pro Arch Linux, čelil nedávnému incidentu, kdy bylo odhaleno několik škodlivých účtů, které vložily malware do stovek balíčků. Tento malware instaloval NPM package manager, který následně instaloval keylogger nebo program kradoucí citlivé informace.
Celkem bylo identifikováno přes 400 balíčků jako kompromitovaných. Arch Linux komunita společně s udržovateli balíčků situaci vyšetřovala a balíčky označila za škodlivé.
Podle dostupných informací balíčky nebyly hromadně odstraněny automaticky, ale situace je aktivně řešena s cílem ochránit uživatele. Junior správce balíčků Jonathan Grotelüschen uvedl, že práce na nápravě stále probíhají.
Tento případ upozorňuje na potřebu obezřetnosti při používání komunitních repozitářů a na důležitost aktivního dohledu nad kvalitou balíčků.