经审查，市场监管总局认为该案对中国境内在线音频播放平台市场、网络音乐播放平台市场竞争可能具有排除、限制竞争效果。为有效减少此项经营者集中可能产生的不利影响，市场监管总局经过全面审查、科学论证，依法对该案作出附条件批准决定，要求腾讯、喜马拉雅和集中后实体作出五项限制性承诺：

1. 不得提高在线音频播放平台服务价格、降低服务水平或者附加不合理交易条件；
2. 不得降低在线音频播放平台免费内容及免费热门内容比例；
3. 不得与在线音频播放平台版权方达成独家授权，并在规定期限内解除现有独家授权约定；
4. 不得向汽车厂商搭售在线音频播放平台、网络音乐播放平台，或者阻碍、限制其采购竞争对手产品；
5. 不得限制主播在多个在线音频播放平台入驻或分发其享有著作权的作品。

经评估，市场监管总局认为该承诺方案可有效减少本集中导致的竞争问题，能够保障消费者、版权方、主播及汽车厂商等多方主体合法权益，维护相关市场公平竞争秩序，依法于5月11日附加限制性条件批准本案。

尊敬的合作伙伴：
国家市场监督管理总局于2026年5月11日发布《关于附加限制性条件批准腾讯控股有限公司收购喜马拉雅公司股权案反垄断审查决定的公告》（以下简称“《决定》”）。根据《决定》所附《附加限制性条件承诺方案》（以下简称“《承诺方案》”）要求，我司承诺不再与《承诺方案》中定义的版权方（以下简称“相关版权方”）达成或变相达成版权独家授权合同，并将于《承诺方案》规定期限内解除现有各种形式的独家授权合同。

我司通过本公告，特此声明并告知各合作伙伴：

一、我司将放弃与相关版权方对于在线音频内容版权独家合同中有关独家授权的权利，相关版权方可自行向其他经营者进行授权，并不予追究相关版权方因授权其他经营者而产生的相关责任。

二、我司将严格按照《决定》及《承诺方案》要求，与各相关版权方解除现有各种形式的独家授权合同，还请相关版权方积极配合。后续，我司将积极寻求以非独家方式与各合作伙伴继续保持合作。

我司高度珍惜且重视与各位合作伙伴长期建立的良好商务关系。在未来版权合作过程中，我司将与产业各方一道，共同维护市场公平竞争秩序，推动中国在线音频内容产业的健康与创新发展。

腾讯控股有限公司
腾讯音乐娱乐集团

二〇二六年五月二十二日

Today we also contacted the [email protected], but since exploits are already public we were told to send this to [email protected] instead, hence this post. We are not publishing our advisory yet, to give distributions and users a chance to patch.

# rmmod rds_tcp rds
# printf 'install rds /bin/false\ninstall rds_tcp /bin/false\n' > /etc/modprobe.d/pintheft.conf

AI 摘要：2026 年 5 月，Socket Research Team 发现 @antv 系列 npm 包遭到供应链攻击，攻击者发布恶意版本，通过 postinstall 脚本窃取环境变量和 npm token，影响 @antv/g6、@antv/util 等多个核心包，建议用户立即版本锁定并轮换密钥。

1. 攻击事件概览
• 2026 年 5 月 11–19 日期间，大量 @antv 子包集中发布恶意版本，时间戳显示攻击窗口集中。
• Socket 安全团队通过实时包监控（package monitoring）发现异常发布行为并发出警报。

2. 攻击手法与技术细节
• 恶意代码嵌入 postinstall 钩子，安装时自动执行，窃取系统环境变量、npm token 及敏感配置。
• 攻击者利用泄露的维护者凭据或通过社会工程学获取 npm 发布权限。

3. 受影响包范围
• 涉及 @antv/scale、@antv/attr、@antv/component、@antv/g6 等数十个包的多个版本。
• 所有在 2026-05-11 至 2026-05-19 时间窗口内发布的版本均为恶意版本。

4. 紧急缓解措施
• 锁定依赖版本，避免使用上述时间窗口内的版本。
• 运行 npm audit 或使用 Socket 工具扫描项目并移除受影响包。
• 立即轮换所有可能泄露的 npm token、环境变量及 API 密钥。
• 关注 AntV 官方后续安全公告，升级到修复后的版本。

Socket

Active Supply Chain Attack Compromises @antv Packages on npm...

Active npm supply chain attack compromises @antv packages in a fast-moving malicious publish wave tied to Mini Shai-Hulud.