.avif)
ソフトウェア・サプライチェーンのセキュリティに関するニュース
悪意のあるパッケージ、依存関係攻撃、実際の侵害事例など、ソフトウェア・サプライチェーンにおける最新のセキュリティインシデント情報を随時お届けします。何が起きたのか、なぜ重要なのか、そして開発者が先手を打つために何を修正すべきかを詳しく解説します。
wfx-lootキャンペーンにより、CIシークレット窃取ツールが数万のリポジトリに拡散
乗っ取られたアカウントが相次いでおり、CIシークレット窃取ツールが拡散されています。自身が影響を受けているかどうか、何が盗まれるのか、そしてどのシークレットを更新すべきかを確認してください。
セキュリティチームはいかにAIを活用したハッカーに反撃するか
AIはハッカーの参入障壁を劇的に下げました。これは防御側にとって何を意味するのか、そして継続的なAIペンテストがどのように状況を変えるのかを説明します。
Storybook の開発サーバーにおける WebSockets を使用した永続的な XSS/RCE
CVE-2026-27148は、StorybookにおけるWebSocketハイジャックの脆弱性を露呈し、サプライチェーン侵害にエスカレートする可能性があります。攻撃経路、影響、および対処法について学びましょう。
Hostヘッダー注入によるAstroフルリードSSRF
Aikido SecurityのAIペンテストエージェントは、AstroのSSR実装においてServer-Side Request Forgery (SSRF) の脆弱性を発見しました。プリレンダリングされたエラーページにおけるHostヘッダーインジェクションが、どのようにして内部ネットワークへの完全なアクセスを可能にしたかをご覧ください。
SvelteSpill: SvelteKit + Vercelにおけるキャッシュの欺瞞バグ
SvelteSpillは、VercelにデプロイされたデフォルトのSvelteKit脆弱性 キャッシュの脆弱性 です。認証済みレスポンスがキャッシュされ、ユーザー間で公開される可能性があります。脆弱性の有無を確認する方法とリスクを軽減する方法について学びましょう。
npmのバックドアにより、ハッカーがギャンブルの結果を乗っ取る
標的型npmサプライチェーン攻撃により、Expressのバックドアがインストールされ、リモートSQL/ファイルアクセスが有効になり、ログの一貫性を保ちながらギャンブルの残高が書き換えられます。
npxの混乱: 自らの名前を確保していなかったパッケージ
公式ドキュメントが開発者にnpxを推奨していた、未請求のnpmパッケージ名128件を当社が取得しました。7ヶ月後、121,000件のダウンロードがありました。これらすべてが任意のコードを実行する可能性がありました。
偽のClawdbot VS Code拡張機能がScreenConnect RATをインストール
Clawdbotを装った悪意のあるVS Code拡張機能が、開発者のマシンにScreenConnect RATをインストールしています。
G_Wagon: npmパッケージが100以上の暗号資産ウォレットを標的とするPython Stealerを展開
npmパッケージ「ansi-universal-ui」は、100以上の暗号資産ウォレット、ブラウザの認証情報、およびクラウドキーを標的とするGWagonインフォスティーラーを配信します。私たちは、攻撃者がリアルタイムで開発を進める中で、全10バージョンを分析しました。
フィッシングの動向：カスタム認証情報収集ページを配信するnpmパッケージ
標的型スピアフィッシングキャンペーンでは、npmパッケージとjsDelivrを無料のフィッシングインフラストラクチャとして使用し、被害者ごとにカスタマイズされた認証情報ハーベスターを提供していました。
悪意のあるPyPIパッケージ spellcheckpy および spellcheckerpy が Python RAT を配布
攻撃者は、一見して分からないようにマルウェアが隠された偽のスペルチェッカーパッケージをPyPIに公開しました。本稿では、この攻撃の詳細と開発者が注意すべき点について解説します。
今すぐ、安全な環境へ。
コード、クラウド、ランタイムを1つの中央システムでセキュアに。
脆弱性を迅速に発見し、自動的に修正。
