AsyncAPI npm パッケージにバックドア——GitHub Actions経由のサプライチェーン攻撃、週200万DL影響
AsyncAPI npm パッケージにバックドア——GitHub Actions経由のサプライチェーン攻撃、週200万DL影響
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-07-16 |
| 元記事 | BleepingComputer |
要約
npmエコシステムへのサプライチェーン攻撃が再び発生した。BleepingComputerとAikido Securityの報告によると、週次ダウンロード数が約200万件に達するAsyncAPI関連npmパッケージの5バージョンに、GitHub Actionsを通じてバックドアが仕込まれた。悪意あるコードは難読化されたドロッパーを介してリモートアクセストロイの木馬（RAT）を展開し、認証情報を窃取する機能を持つ。当該バージョンはすでにnpmから削除されているが、2026-07-14以降にインストールしたプロジェクトは依存関係の確認と資格情報のローテーションが推奨される。