In den Versionen 5.6.0 und 5.6.1 enthielt das Packprogramm XZ eine Backdoor, die Angreifer dort eingeschleust hatten. Die erste offizielle Version ohne diese Sicherheitslücke steht jetzt unter der Version 5.6.2 bereit.

Die Open Source Security Foundation (OpenSSF und die OpenJS Foundation haben vor Social Engineering Übernahmen von Open-Source-Projekten gewarnt.