Bitwarden CLI 2026.4.0 侵害を検出：認証情報の窃取および CI/CD パイプライン侵入のリスク

Bitwarden CLI Compromised in Supply Chain Attack via GitHub Actions

2026/04/24 CyberSecurityNews — Checkmarx が追跡するサプライチェーン・キャンペーンの一環として、Bitwarden CLI バージョン 2026.4.0 が侵害されたことを、Socket が確認した。このインシデントにより、膨大な数のユーザーと企業が、認証情報の窃取および CI/CD パイプライン侵入のリスクに晒されている。

この攻撃は、npm 上の @bitwarden/cli 2026.4.0 を標的とし、パッケージ内容に “bw1.js” という悪意のファイルを挿入するものだ。Bitwarden CLI は、1,000 万以上のユーザーおよび 50,000 以上の企業に利用されているため、このキャンペーンによる影響は極めて大きなものとなる。

なお、影響を受けたのは npm CLI パッケージのみであり、Bitwarden の Chrome エクステンション／MCP サーバなどの公式配布チャネルは侵害されていない。

この攻撃者が悪用したのは、Bitwarden の CI/CD パイプライン内の侵害された GitHub Action である。この手法は、Socket 研究者が確認している、Checkmarx キャンペーンと同一のサプライチェーン・ベクターである。

悪意の “bw1.js” ペイロードは、以前に解析された “mcpAddon.js” と共通のインフラを使用する。その C2 エンドポイント “audit.checkmarx[.]cx/v1/telemetry” は、 __decodeScrambled (seed 0x3039) により難読化されている。

一連のペイロードは、高度なマルチステージ構造を採用している：

  • 認証情報収集：Runner.Worker メモリからの GitHub トークン／~/.aws/ からの AWS 認証情報／azd による Azure トークン／gcloud による GCP 認証情報／.npmrc からの npm トークン／SSH キー／Claude MCP コンフィグ・ファイルの取得など。
  • GitHub 外部送信：被害者アカウント下に公開リポジトリを作成し、Dune (砂の惑星) 風命名規則 ({word}-{word}-{3digits}) を使用して暗号化結果をコミットし、トークンをコミット・メッセージに埋め込む。
  • サプライチェーン拡散：npm トークン窃取により、書き込みが可能なパッケージを特定し、プレインストール・フックを挿入して再公開する。さらに、GitHub Actions ワークフローを改変してシークレットを取得する。
  • 永続化：~/.bashrc および ~/.zshrc へのペイロード挿入。
  • ロシア・ロケール・キルスイッチ：システムロケールが “ru” で開始する場合は動作を停止する。

ペイロードは 、GitHub Releases から直接取得され、Bun v1.3.13 環境上で実行される。

この攻撃におけるインフラは、Checkmarx マルウェア・エコシステムと共有されるものだが、いくつかの指標は異なっており、進化したオペレータの存在を示唆している。ペイロードには明確なイデオロギー表現が含まれる。リポジトリ説明には “Shai-Hulud: The Third Coming”、デバッグ文字列には “Butlerian Jihad” が記述されている。

従来の Checkmarx キャンペーンに見られる、中立的な説明とは対照的である。Socket 研究者たちが指摘するのは、同一のインフラを共有する別オペレータや分派グループの犯行、もしくは、戦術の変化の可能性である。

対応策

このパッケージを導入している組織は、完全な認証情報漏洩インシデントとして扱う必要がある。即時対応は、以下の通りである：

  • すべての影響を受けるパッケージを、開発環境およびビルド環境から削除
  • GitHub トークン／npm トークン／クラウド認証情報／SSH キー／CI/CD シークレットなどの認証情報をローテーション
  • GitHub 上での不正リポジトリ作成／”.github/workflows/” 配下の異常ファイル／Dune 命名リポジトリの監査
  • “/tmp/tmp.987654321.lock” の存在およびシェル・プロファイル改変の確認
  • “audit.checkmarx[.]cx” への外部通信および異常な Bun 実行の監視

長期的な対策として推奨されるのは、トークン・スコープの最小化／短寿命認証情報の採用／パッケージ公開権限の制限／GitHub Actions の最小権限コンフィグの適用などである。

IOC 概要
IndicatorDetails
Malicious Package@bitwarden/cli 2026.4.0
Malicious Filebw1.js
C2 Endpointaudit.checkmarx[.]cx/v1/telemetry
Lock File/tmp/tmp.987654321.lock
Staging Repo Pattern{word}-{word}-{3digits}

Socket のセキュリティ研究チームは、このキャンペーンの全容を解明すべく作業を継続している。追加分析が完了するまで、このバージョンへの感染リスクをインシデントとして扱う必要がある。

訳者後書：数多くの開発者や企業が信頼して利用しているツールを標的にした、深刻なサプライチェーン攻撃について紹介する記事です。このインシデントの根本的な原因は、Bitwarden CLI の公開プロセス (CI/CD パイプライン) で使用される GitHub Action が侵害され、正規のパッケージの中に “bw1.js” という悪意のプログラムが混入されたことにあります。これにより、ツールをインストールしただけで、クラウドの認証情報や SSH キーといった極めて重要な機密情報が自動的に盗み出され、攻撃者のリポジトリへと送信されてしまう仕組みが作られてしまいました。ご利用のチームは、ご注意ください。よろしければ、Bitwarden での検索結果も、ご参照ください。