.avif)
ソフトウェア・サプライチェーンのセキュリティに関するニュース
悪意のあるパッケージ、依存関係攻撃、実際の侵害事例など、ソフトウェア・サプライチェーンにおける最新のセキュリティインシデント情報を随時お届けします。何が起きたのか、なぜ重要なのか、そして開発者が先手を打つために何を修正すべきかを詳しく解説します。
wfx-lootキャンペーンにより、CIシークレット窃取ツールが数万のリポジトリに拡散
乗っ取られたアカウントが相次いでおり、CIシークレット窃取ツールが拡散されています。自身が影響を受けているかどうか、何が盗まれるのか、そしてどのシークレットを更新すべきかを確認してください。
StyleSmugglerの修正：MagentoおよびAdobe CommerceのRCEに対するパッチ適用
StyleSmugglerは、MagentoおよびAdobe Commerceを標的とする認証不要のRCE攻撃であり、現時点でCVEは割り当てられておらず、Adobeによるパッチもまだ公開されていません。 Aikido すでに修正済みです。
「メッチャ・カメレオン」はRCEから隠れることはできない
MECCHA CHAMELEONにおいて、2件目の遅延型RCEを発見しました。悪意のあるカスタムマップを使用すると、システム上の任意の場所にファイルを書き込んだり、再起動後にコードを実行したりすることが可能でした。これはバージョン4.0.0で修正済みです。
TanStackクエリ用の人気コードジェネレータが、サプライチェーンワームの被害に遭う
TanStack Query用の人気コードジェネレータである@7nohe/openapi-react-query-codegenに、サプライチェーンワームが潜んでいることが判明しました。このワームは認証情報を盗み出し、被害者が管理するすべてのパッケージに自身を拡散させています。
人気のあるRustクレート「arrayref」、「append-only-vec」、「internment」がサプライチェーン攻撃により侵害された
サプライチェーン攻撃により、人気のあるRustクレートである「arrayref」、「append-only-vec」、「internment」が侵害され、ビルド時にリモートのペイロードをダウンロードして実行する悪意のある「proc-macro1」パッケージへの依存関係が注入されました。
GogsでまたしてもRCEが発生しましたが、今回は修正されました！
CVE-2026-52813 | ある Aikido ペネトレーションテスト用エージェントにより、Gogsにおけるパストラバーサルが検出されました。これを完全なRCE（リモートコード実行）にエスカレートさせ、さらに2つのバグを報告しました。これらはすべてバージョン0.14.3で修正されています。
Keyvとその仲間たちが、現在進行中のShai-Huludによるサプライチェーン攻撃の被害に遭った
2026年8月4日、攻撃者がメンテナンス担当者のGitHubアカウントを乗っ取ったことを受け、keyvおよび関連する8つのnpmパッケージに「Mini Shai-Hulud」マルウェアが仕込まれた。
Anthropicの『Fever Dream』：本物の鍵を盗んだクロードの荷物
Anthropicは、PyPIに実際のマルウェアを流した犯人を特定したと発表した。我々はそのパッケージを発見したと考えており、そこに含まれるあらゆる誤りは、すべてそのAIに起因しているようだ。
6時間でNodeBBの重大度の高い脆弱性を8件発見
当社のペンテスト により、ペンテスト 発見されたNodeBBの重大な脆弱性8件。XSSチェーン、認証バイパス、および投稿乗っ取りに関する詳細な技術的分析を掲載しています。
SleeperGem：RubyGemsのサプライチェーン攻撃が、活動停止中のメンテナアカウントを標的にしている
SleeperGem：休眠状態だった2つのRubyGemsメンテナアカウントが乗っ取られ、信頼されているGemにマルウェアが仕込まれた。そのうち1つは、累計ダウンロード数が50万回を超えていた。
今すぐ、安全な環境へ。
コード、クラウド、ランタイムを1つの中央システムでセキュアに。
脆弱性を迅速に発見し、自動的に修正。
