AsyncAPI製npmパッケージにGitHub Actions経由でバックドア—週200万ダウンロードに影響
AsyncAPI製npmパッケージにGitHub Actions経由でバックドア—週200万ダウンロードに影響
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-07-15 |
| 元記事 | Aikido Security |
要約
npmサプライチェーン攻撃は近年増加傾向にあり、オープンソースエコシステムの広い普及が脆弱性の波及規模を増幅させる。Aikido SecurityとWizの研究者が調査したところ、GitHub Actionsの設定ミスを悪用した攻撃者が、人気のオープンソース仕様ライブラリAsyncAPIの5つのnpmパッケージバージョンに難読化されたドロッパー（マルウェアダウンローダー）を仕込んでいたことが発覚した。影響を受けたパッケージの合計週間ダウンロード数は約200万件に達する。CI/CDパイプラインにおけるGitHub Actionsの権限管理の不備がサプライチェーン攻撃の入口となる事例が相次いでおり、Actions workflowのセキュリティ強化と依存パッケージの整合性検証が急務となっている。