SupplyChain – IoT OT Security News

Laravel-Lang パッケージ 700 種類に侵害：GitHub リポジトリを悪用する巧妙な手法

Hackers Compromise Laravel-Lang Packages via 700 GitHub Repos

2026/05/23 gbhackers — 現在進行型の高度なサプライチェーン攻撃が、Laravel-Lang オープンソース組織を直撃している。Laravel-Lang で広く使用されている、4つの PHP ローカライゼーション・リポジトリにおいて、700以上のパッケージ・バージョンが侵害された。この攻撃は、Aikido Security および Socket Research Team により、2026年5月22日に検知／報告された。Composer の autoloader を介して、ユーザー操作を必要とせずに自動実行される、完全なリモートコード実行 (RCE) バックドアが組み込まれている。

GitHub Action を標的としたサプライ・チェーン攻撃：認証情報窃取ペイロードを確認

Compromised GitHub Action Steals Workflow Credentials

2026/05/19 gbhackers — 広く利用されている GitHub Actions の actions-cool/issues-helper が、サプライ・チェーン攻撃により侵害され、機密性の高い CI/CD シークレットが攻撃者が管理するドメインへと流出するリスクが生じている。この攻撃は、Git タグに対する巧妙な操作を悪用するものであり、攻撃者は目に見える commit 履歴を改竄するのではなく、すべてのリリースタグを偽の commit (1c9e803) へ移動させた。この偽 commit は、リポジトリ内の正規ブランチに属していない。

npm ライブラリ node-ipc にサプライチェーン攻撃：Cloud 認証情報／SSH キーを窃取

2026/05/15 gbhackers — 週次のダウンロード数 822,000 件を超える npm パッケージが、深刻なサプライチェーン攻撃の中心となり、JavaScript エコシステム全体に新たな懸念を引き起こしている。人気ライブラリ node-ipc に存在する、ステルス性の高い認証情報窃取マルウェア／バックドアなどを取り込んだ複数の悪意のバージョンを、Socket のセキュリティ研究者が発見した。影響を受けるバージョン node-ipc@9.1.6／9.2.3／12.0.1 が、公開後の数分以内に検知された。

TanStack npm サプライチェーン攻撃：OpenAI が受けた侵害の内容と背景

OpenAI Confirms Security Breach Via TanStack npm Supply Chain Attack

2026/05/15 CyberSecurityNews — TanStack npm を標的とする大規模なソフトウェア・サプライチェーン攻撃により、OpenAI の従業員端末 2 台が侵害された。同社は、ユーザーデータ／本番システム／知的財産への影響はなかったと確認している。2026年5月11日 (UTC) に、脅威アクターは Mini Shai-Hulud と呼ばれるキャンペーンを開始した。それは、TeamPCP 恐喝グループによりオーケストレーションされる協調的なサプライチェーン攻撃である。

Checkmarx Jenkins AST プラグイン侵害：TeamPCP 攻撃キャンペーンの拡大の理由は？

TeamPCP Compromised Checkmarx Jenkins AST Plugin Following KICS Supply Chain Attack

2026/05/12 CyberSecurityNews — Checkmarx Jenkins AST plugin の改竄版が Jenkins Marketplace に密かに公開され、開発パイプラインが認証情報窃取／不正アクセスのリスクにさらされる事態となった。比較的知名度の低いオープンソース・スキャナーから始まったサプライチェーン攻撃が、業界で最も広く使用されているアプリケーション・セキュリティ・ツールの一つにまで到達している。

PyTorch Lightning にサプライチェーン攻撃：GitHub アカウント侵害の可能性

2026/04/30 CyberSecurityNews — AI 製品のトレーニング／デプロイ／提供に使用される人気の PyPI パッケージ Lightning が、現在進行中のサプライチェーン攻撃により侵害された。具体的には、PyTorch Lightning フレームワークにおけるインポート時に、認証情報窃取マルウェアが自動実行されるという問題が発生し、GitHub メンテナ・アカウントの侵害も確認されている。

SAP npm パッケージの汚染：依存関係インストール時にサイレント実行される悪意

Compromised SAP npm Packages Found Harvesting Developer and CI/CD Secrets

2026/04/30 gbhackers — SAP 開発者エコシステムを標的とする深刻なサプライチェーン攻撃を、セキュリティ研究者たちが特定した。TeamPCP と識別される脅威グループは、“Mini Shai Hulud” と名付けられた新たなキャンペーンにおいて、複数の正規 SAP npm パッケージを侵害した。この攻撃は、依存関係インストール時にサイレントに実行される、悪意のプレインストール・スクリプトの注入から始まる。

Python パッケージ elementary-data の侵害：悪意のバージョン 0.23.3 が PyPI に公開された

2026/04/28 CyberSecurityNews — 人気の Python パッケージ elementary-data を侵害する、大規模なソフトウェア・サプライチェーン攻撃が検出された。この攻撃により、数千の開発者が資格情報の窃取にさらされている。脅威アクターは悪意のバージョン 0.23.3 を Python Package Index (PyPI) に公開すると同時に、GitHub Container Registry (GHCR) 上の対応 Docker イメージも汚染した。

Checkmarx の GitHub リポジトリが侵害：サプライチェーン攻撃による二次的な被害か？

Checkmarx Confirms Security Incident Involving GitHub Repository Exposure

2026/04/28 gbhackers — Checkmarx が正式に認めたのは、内部の GitHub リポジトリ露出に関する、新たなセキュリティ・インシデントの発生である。2026年04月27日に、同社の VP of Platform Engineering 兼 Global CISO である Udi-Yehuda Tamar が明らかにしたのは、サイバー犯罪グループが Checkmarx データをダークウェブに公開したことだ。

Open VSX の Sleeper エクステンション：GlassWorm サプライチェーンに関連する 73件を検出

73 Open VSX Sleeper Extensions Linked to GlassWorm Activate New Malware Campaign

2026/04/26 CyberSecurityNews — 新たな Sleeper エクステンション 73 件の発見が示すのは、Open VSX マーケットプレイスを標的とする GlassWorm サプライチェーン攻撃の拡大である。2026年04月に特定された、このクラスターが示すのは、脅威アクターによるソフトウェア開発者向けマルウェア配布手法の変化である。

Bitwarden CLI 2026.4.0 侵害を検出：認証情報の窃取および CI/CD パイプライン侵入のリスク

Bitwarden CLI Compromised in Supply Chain Attack via GitHub Actions

2026/04/24 CyberSecurityNews — Checkmarx が追跡するサプライチェーン・キャンペーンの一環として、Bitwarden CLI バージョン 2026.4.0 が侵害されたことを、Socket が確認した。このインシデントにより、膨大な数のユーザーと企業が、認証情報の窃取および CI/CD パイプライン侵入のリスクに晒されている。

Vercel がセキュリティ侵害を公表：Context.ai 経由の不正アクセスが判明

Vercel Confirms Security Breach – Set of Customer Account Compromised

2026/04/23 CyberSecurityNews — Vercel が公開したのは、内部システムへの不正アクセスを引き起こす、深刻なセキュリティ・インシデントの内容である。この攻撃は、同社の従業員が使用していたサードパーティ製 AI 生産性ツール Context.ai の侵害に起因するものである。2026年4月19日に Vercel は、最初のセキュリティ情報公開を行い、Context.ai に属する侵害済み Google Workspace OAuth アプリケーションが悪用され、攻撃者が内部環境への足掛かりを確立したことを認めた。

Axios npm パッケージ汚染を CISA が緊急警告：広範なサプライチェーン・リスクの懸念

CISA Warns Compromised Axios npm Package Fueled Major Supply Chain Attack

2026/04/21 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、広く利用されている npm パッケージである Axios に影響を及ぼす、深刻なソフトウェア・サプライチェーン侵害に関する緊急警告である。Axios は、Node.js とブラウザ環境で、HTTP リクエスト処理に利用される人気の JavaScript ライブラリである。

WordPress 正規プラグインを介した攻撃：8 ヶ月間にわたり検知を回避したバックドア

Trusted WordPress Plugins Hijacked in 8-Month Stealth Backdoor Campaign

2026/04/15 gbhackers — 30 以上の人気 WordPress プラグインにリモート・コード実行 (RCE) バックドアを密かに仕込んだハッカーたちが、約 8 ヶ月間の休眠後にマルウェアを起動して wp-config.php を書き換え、隠蔽 SEO スパムを注入するという、大規模なキャンペーンを展開している。このインシデントは “Essential Plugin” と呼ばれるプラグイン群に関連している。このポートフォリオは、スライダー／カウントダウン・タイマー／FAQ／ギャラリーなどの機能を提供する、30 以上の無料プラグインと有料エクステンションで構成されている。

AI 開発者を狙う npm サプライチェーン攻撃：gemini-ai-checker に潜むバックドア

Hackers Use Fake Gemini npm Package to Steal Tokens From Claude, Cursor, and Other AI Tools

2026/04/07 CyberSecurityNews — AI コーディング・ツールを利用するソフトウェア開発者を標的とする、新たなサプライチェーン攻撃が確認された。2026年3月20日の時点で、この攻撃者は gemini-check アカウントを用いて、悪意の npm パッケージ “gemini-ai-checker” を公開した。このパッケージは、Google Gemini AI トークン検証用のシンプルなユーティリティを装い、信頼性が高く見える整然とした構造を持っている。しかし、その内部に組み込まれたマルウェアにより、AI コーディング環境から認証情報／ファイル／トークンなどが窃取されていく。

Mercor AI を標的とする大規模侵害：Lapsus$ の 4TB データ窃取主張を受けデータ侵害を認める

Mercor AI Confirms Data Breach Following Lapsus$ Claims of 4TB Data Theft

2026/04/01 CyberSecurityNews — Mercor AI が深刻なデータ侵害の発生を公式に認めたのは、悪名高いハッキング集団 Lapsus$ による 4 TB の機密データの窃取という主張を受けてのことである。このインシデントは、オープン・ソース LiteLLM プロジェクトに対する最近のサプライ・チェーン攻撃に起因するものであり、独自開発のソースコード／内部データベース／大量のユーザー本人確認データなどを露出するものだ。

Axios を標的とするサプライチェーン攻撃を検出：npm 経由で悪意の依存関係を注入

Axios NPM Packages Compromised to Inject Malicious Codes in an Active Supply Chain Attack

2026/03/31 CyberSecurityNews — Axios を標的とする高度なサプライ・チェーン攻撃において、公式 npm レジストリに悪意のトランジティブ依存関係が導入された。Axios は、JavaScript エコシステム内で最も広く採用されている HTTP クライアントの一つである。フロントエンド・フレームワーク／バックエンド・マイクロサービス／エンタープライズ・アプリケーション全体で、重要なコンポーネントとして機能しており、npm 上で週約 8,300 万回のダウンロードを記録している。

GoHarbor の脆弱性 CVE-2026-4404 が FIX：デフォルト認証不備からサプライチェーン攻撃への経路とは？

GoHarbor Issues Urgent Patch for Harbor Flaw Allowing Full Registry Compromise

2026/03/25 gbhackers — GoHarbor の Harbor コンテナ・レジストリに存在する深刻なセキュリティ脆弱性により、ユーザー組織は深刻なサプライチェーン攻撃のリスクにさらされている。この脆弱性 CVE-2026-4404 は、管理者が手動で変更しない限り有効な状態を維持する、ハードコードされたデフォルト認証情報に起因する。この設計上の問題により、認証情報が変更されない限り悪用され続けることになる。

Trivy Scanner でサプライチェーン攻撃：バージョン・タグの書き換えによる認証情報窃取

Hackers Compromise Trivy Scanner to Inject malicious Scripts and Steal Login Credentials

2026/03/21 CyberSecurityNews — Trivy の公式 GitHub Action (aquasecurity/trivy-action) を標的とする高度なサプライチェーン攻撃により、世界中の CI/CD (Continuous Integration/Continuous Deployment) パイプラインが侵害されている。2026年3月3日には、Trivy エコシステムの別のインシデントが報告されており、今回は 2件目の侵害事例となる。

StegaBin キャンペーンと 26 件の悪意ある npm パッケージ：巧妙に機密データを窃取する RAT

New ‘StegaBin’ Campaign Deploys Multi-Stage Credential Stealer via 26 Malicious npm Packages

2026/03/03 gbhackers — StegaBin と呼ばれる新たなサプライチェーン攻撃が確認された。人気オープンソース・ライブラリを装う 26 個の悪意の npm パッケージを通じて JavaScript 開発者を標的とし、多段階のクレデンシャル窃取ツールキットおよびリモートアクセス型トロイの木馬 (RAT) を展開している。このキャンペーンは、過去において暗号資産／Web3 の開発者を標的とした Contagious Interview 作戦で知られる、北朝鮮関連の脅威アクター FAMOUS CHOLLIMA に帰属するとされる。

開発者を標的とするサプライチェーン攻撃：Next.js を悪用して偽装リポジトリを展開

Microsoft Warns of Hackers Attacking Developers with Malicious Next.js Repositories

2026/02/25 CyberSecurityNews — 正規の Next.js プロジェクトや技術評価資料を装う悪意のリポジトリを通じて、組織的かつ協調的な攻撃キャンペーンが進行中であり、ソフトウェア開発者たちが標的にされている。攻撃者は求人をテーマとした偽装の手法を用い、偽の採用課題を提示することで開発者を誘導し、そのマシン上で改竄されたコードをクローン／実行させる。開発者がプロジェクトを実行すると、攻撃者が制御する Command-and-Control (C2) インフラへ密かに接続され、開発者のシステムおよび保存済みの機微データへのリモート・アクセスが許可される。

ASP.NET 開発者を狙う悪意の NuGet パッケージ：JIT フックでバックドアを設置

Malicious NuGet Packages Attacking ASP.NET Developers to Steal Login Credentials

2026/02/24 CyberSecurityNews — ASP.NET 開発者を標的とする、サプライ・チェーン攻撃が確認された。Web アプリケーション内に永続的バックドアを設置する目的で構築された、4 つの悪意の NuGet パッケージがログイン資格情報を窃取している。それらのパッケージは、NCryptYo／DOMOAuth 2 _／IRAOAuth 2.0／SimpleWriter _ であり、”hamzazaheer” と名乗る脅威アクターにより 2024年8月12日から 8月21日にかけて公開され、累計で 4,500 件超がダウンロードされている。

Advantest がランサムウェア攻撃に遭遇：半導体サプライチェーンへの波及が懸念される

Japanese Semiconductor Supplier Hit by Ransomware, Multiple Systems Impacted

2026/02/22 gbhackers — 半導体試験装置の主要サプライヤーである Advantest Corporation は、先週末に同社ネットワークを襲ったランサムウェア攻撃への対応を進めている事実を明らかにした。このインシデントは、2026年2月15日 (JST) に検知され、複数システムへの影響による混乱を招いた。AI チップから自動運転車までを製造するテック大手企業へ波及し得るサプライチェーン攻撃として、世界の半導体業界に警鐘を鳴らしている。

PNG 画像に偽装された Pulsar RAT：npm を標的とするサプライ・チェーン攻撃を検出

Hackers Hide Pulsar RAT Inside PNG Images in New NPM Supply Chain Attack

2026/02/22 hackread — 通常の PNG 画像に危険なウイルスを隠蔽する、新たなサイバー攻撃が発見された。数百万のソフトウェア開発者がツール共有に利用する、大規模 Web サイトである npm のレジストリ上の悪意あるパッケージを、Veracode Threat Research が発見した。このパッケージは通常のソフトウェアのように見えるが、実際の目的はユーザーのコンピュータを乗っ取ることにある。

OpenClaw 悪用キャンペーンの拡大：脆弱性 CVE-2026-25253 を介した API キー窃取／マルウェア展開

Multiple Hacking Groups Exploit OpenClaw Instances to Steal API key and Deploy Malware

2026/02/22 CyberSecurityNews — 複数のハッキング・グループにより、OpenClaw (旧称 MoltBot／ClawdBot) の脆弱性 CVE-2026-25253 が広範に悪用され、悪意あるペイロードの配布／展開が引き起こされていることが判明した。OpenClaw は、現在は OpenAI に所属する Peter Steinberger により開発された、オープンソースの自律型 AI フレームワークであり、2026年1月下旬に急速に普及した後に、深刻な攻撃の標的となっている。

ClawHub に 341 件の悪意の “skill”：OpenClaw を介したサプライチェーン攻撃を検出

OpenClaw Becomes New Target in Rising Wave of Supply Chain Poisoning Attacks

2026/02/09 CyberSecurityNews — AI エージェント・プラットフォーム OpenClaw の、ClawHub プラグイン・マーケットプレイスが悪意の “skill” により汚染され、深刻なサプライチェーン・リスクに直面している。この急速に成長しているオープンソース・エコシステムにおいて、Atomic Stealer などのインフォスティーラーを展開する侵害済みエクステンションが数百件規模で存在することを、セキュリティ企業 SlowMist と Koi Security が明らかにした。

n8n の脆弱性 CVE-2026-25049 が FIX：システム・コマンド実行とサプライチェーンへの影響

n8n Vulnerability Allows Remote Attackers to Hijack Systems via Malicious Workflow Execution

2026/02/05 gbhackers — n8n が公表したのは、ホスト・システムをリモート・コード実行 (RCE) に晒す深刻な脆弱性へ対処するための、緊急のセキュリティ更新のリリースである。この脆弱性 CVE-2026-25049 (CVSS4.0：9.4：Critical) は、認証済みの攻撃者に対して、式評価サンドボックスの脱出を許し、任意のシステム・コマンド実行の可能性を引き起こすものである。結果として、基盤インフラ全体が、完全に侵害される恐れがある。

GlassWorm の標的は macOS：悪意の VSX エクステンションが 22,000 以上もダウンロード

GlassWorm Infiltrated VSX Extensions with More than 22,000 Downloads to Attack Developers

2026/02/03 CyberSecurityNews — Open VSX Registry を利用する開発者にとっての深刻な脅威として、GlassWorm が浮上している。人気の VSX エクステンション群が、マルウェア配布のメディアに密かに変えられるという状況が発覚した。脅威アクターたちが、信頼されるパブリッシャ・アカウントを侵害し、通常のリリースに見せかけた汚染アップデートを配信していた。これらのアップデートには、段階的に実行されるローダが含まれていた。

Notepad++ を標的とする APT サプライチェーン攻撃：中国支援グループによるインフラ侵害

Notepad++ Users Targeted After State-Backed Attackers Hijack Update Servers

2026/02/02 gbhackers — Notepad++ に仕掛けられた洗練されたサプライチェーン攻撃は、中国の国家支援を受けた高度な脅威アクターにより実行されたと見られている。この攻撃により、約 6 ヶ月間にわたりアップデート・インフラが侵害された。きわめて選択的な標的設定と、攻撃全体を通じて示された高度な技術的洗練度に基づき、この攻撃は中国の国家支援グループによるものであると、セキュリティ専門家たちは評価している。

Open VSX エクステンションに潜む高度なマルウェア：開発者を狙う狡猾なサプライチェーン攻撃

Sophisticated Malware Lurks In Open VSX Extension With 5,066 Downloads

2026/01/30 gbhackers — 人気の Angular Language Service を装う悪意の VS Code エクステンションが、Open VSX Registry 上で発見された。このマルウェアを起動させる機能を備えたエクステンションは、2 週間ほど前に公開され、5,066 回ダウンロードされていた。このエクステンションは正規の Angular ツールチェーン “@angular/language-service 21.1.0-rc.0″ と TypeScript 5.9.3 を同梱している。その一方で、”extension/index.js” ファイル内に悪意のコードが埋め込まれており、開発者に深刻なサプライチェーン・リスクをもたらす構成となっている。

悪意のオープンソース・パッケージ数：2024／2025 比較で 73% 増 – ReversingLabs

Report: Open Source Malware Instances Increased 73% in 2025

2026/01/29 SecurityBoulevard — 2025 年に発見された悪意のオープンソース・パッケージの数が、前年と比較して 73% 増加したことを、今週に公開された ReversingLabs の Software Supply Chain Security Report 2026 が明らかにした。この調査では、1 万件を超える悪意のオープンソース・パッケージが発見されたが、その大半は node package manager (npm) を悪用するものであり、ソフトウェア・サプライチェーンを侵害するために悪用されていた。こうした悪意のオープンソース・ソフトウェア活動全体の 90% を、npm が占めていることも判明した。

45 万件超の悪意のオープンソース・パッケージを確認：Sonatype が警告

Researchers Uncover 454,000+ Malicious Open Source Packages

2026/01/28 InfoSecurity — 2025年に再確認された悪意のパッケージの急増を受け、セキュリティ研究者たちが警告するのは、オープンソース・エコシステムが抱える構造的なリスクである。Maven Central／PyPI／npm／NuGet 全体でのコンポーネントが、昨年は 9.8 兆回もダウンロードされたと、2026 State of the Software Supply Chain レポートで Sonatype は述べている。問題とされるのは、その中の相当数にマルウェアや脆弱性が含まれていたことだ。

AWS CodeBuild のミスコンフィグ：GitHub リポジトリ侵害とサプライチェーン攻撃

AWS CodeBuild Misconfiguration Exposed GitHub Repos to Potential Supply Chain Attacks

2026/01/15 TheHackerNews — Amazon Web Services (AWS) の CodeBuild における深刻なミスコンフィグにより、AWS JavaScript SDK を含むクラウドサービス・プロバイダー独自の GitHub リポジトリが完全に乗っ取られ、すべての AWS 環境が危険にさらされるという可能性があった。この脆弱性は、クラウド・セキュリティ企業 Wiz により CodeBreach というコードネームで呼ばれている。この脆弱性は、2025年8月25日の責任ある情報開示を受け、2025年9月に AWS により修正された。

n8n を攻撃する武器化された npm パッケージ：コミュニティノード・エコシステムを侵害

Hackers Infiltrated n8n’s Community Node Ecosystem With a Weaponized npm Package

2026/01/12 CyberSecurityNews — 正規の Google 広告統合ツールを装う悪意の npm パッケージにより、n8n のコミュニティノード・エコシステムを標的とする攻撃が展開されている。この攻撃は、ワークフロー自動化プラットフォームにおけるサードパーティ統合の信頼モデルを悪用するものであり、ユーザー認証情報の処理プロセスに潜むセキュリティ上の死角を明らかにしている。具体的な手口として確認されたのは、正規の認証フォームを精巧に模倣した UI を表示する悪意のパッケージ “n8n-nodes-hfgjf-irtuinvcm-lasdqewriit” により、 Google 広告の OAuth 認証情報を開発者から窃取する仕組みである。

Cyber Risk In 2026：地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及

Cyber Risk In 2026: How Geopolitics, Supply Chains and Shadow AI Will Test Resilience

2026/01/02 InfoSecurity — 2026 年においては、地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及により、リスク管理の意味が再定義されるだろう。ユーザー組織にとって必要なことは、サイバー戦略／業務継続性／地政学的認識が深く絡み合った、プロアクティブでインテリジェンス主導のレジリエンスへの移行である。もはや、事後対応型のセキュリティ体制では、差し迫る脅威に対して対応しきれなくなる。2026 年のサイバーセキュリティ環境を特徴づける、３つの主要トレンドについて解説していく。

EmEditor ユーザーに侵害の恐れ：正規サイトからのリダイレクトと偽インストーラー

EmEditor Editor Website Hacked to Deliver Infostealer Malware in Supply Chain Attack

2025/12/30 CyberSecurityNews — 広く利用されているテキストエディタ EmEditor を標的とする大規模なサプライチェーン攻撃により、数百万人規模のユーザーが高度な情報窃取マルウェアにさらされている。2025年12月19日から12月22日の４日間にわたり、EmEditor の公式 Web サイトが不正に改竄され、無防備なユーザーに対して悪意のインストーラが配布された。”Download Now” ボタンからバージョン 25.4.3 を取得したユーザーが、正規ソフトウェアではなく悪意のファイルを受け取っていたことを EmEditor は確認している。世界中の開発者／システム管理者／技術専門家たちが、深刻なセキュリティ侵害のリスクに直面している。

Adobe ColdFusion を狙ったサプライチェーン攻撃：250万件の悪意のリクエストを検出

2.5 Million+ Malicious Request From Hackers Attacking Adobe ColdFusion Servers

2025/12/29 CyberSecurityNews — Adobe ColdFusion サーバおよび 47 以上のテクノロジー・プラットフォームに対して、250 万件を超える悪意のリクエストを生成する組織的なエクスプロイト・キャンペーンが、2025年のクリスマス休暇期間中に発生した。この攻撃は、日本を拠点とするインフラを悪用する、単一の脅威アクターが実行したとされている。今回の攻撃が示すのは、20 年も前に発見された脆弱性と新たな脆弱性を標的とする脅威アクターが、高度なスキャン活動を展開している実態である。

n8n の深刻な脆弱性 CVE-2025-68613 が FIX：懸念される RCE 攻撃とサプライチェーンへの影響

Critical n8n Vulnerability Exposes 103,000+ Automation Instances to RCE Attacks

2025/12/23 gbhackers — 人気のオープンソース・ワークフロー自動化プラットフォーム n8n に、深刻なリモートコード実行の脆弱性が発見された。この脆弱性 CVE-2025-68613 の CVSS スコアは 9.9 である。認証された攻撃者であれば、n8n のプロセス権限で任意のコードを実行できるため、インスタンスが完全に侵害されるリスクが生じる。2025年12月19日に公開された情報によると、この脆弱性は n8n のワークフロー式評価システムにおける分離不足に起因するとのことだ。

Docker が Hardened Images をオープンソース化：サプライチェーン攻撃への対策を強化

Docker Open Sources Production-Ready Hardened Images for Free

2025/12/22 CyberSecurityNews — Docker が発表したのは、すべての開発者に対して Docker Hardened Images (DHI) を無料で提供し始めるという、コンテナ・セキュリティ戦略における大幅な転換である。従来は商用提供のみであった DHI は、安全で最小限の機能のみを備え、本番環境で即時に利用可能なコンテナ・イメージ群を提供する。これらのコンテナ・イメージを Apache 2.0 ライセンスで公開することで、Docker は 2025年に $60 billion 超の被害をもたらすと予測されるソフトウェア・サプライチェーン攻撃の増加に対抗する狙いである。

Nissan が公表したデータ侵害：Red Hat インフラへの不正アクセスとサプライチェーン・リスク

Nissan Discloses Data Breach Linked to Compromised Red Hat Infrastructure

2025/12/22 gbhackers — Nissan が公表したのは、福岡に所在する販売店の顧客約 21,000人に影響を及ぼす、深刻なデータ漏洩に関する情報である。このインシデントは、販売店の顧客管理システムの開発に使用されていた、Red Hat マネージド・サーバへの不正アクセスにより発生した。この不正アクセスは、2025年9月26日に Red Hat が検知し、その後の詳細な調査と対応を経て、今回の Nissan による公表に至った。

Python のレガシー・パッケージに潜む脆弱性：放棄されたドメインとブートストラップ・スクリプト

Legacy Python Package Vulnerabilities Enable PyPI Attacks Through Domain Takeover

2025/11/27 gbhackers — Python のレガシー・パッケージに潜む脆弱性について、ReversingLabs の研究者たちが警鐘を鳴らしている。この脆弱性は、Python Package Index (PyPI) のユーザーを、ドメイン侵害によるサプライチェーン攻撃の脅威にさらすものである。それらの脆弱なコードは、最近のプロジェクトではほとんど使用されていないが、古い本番システムに残り続けているため、依然としてリスクは消え去っていない。

BlueVoyant 年次レポート 2025：世界規模のサプライチェーン侵害と TPRM プログラムの現状

Supply Chain Breaches Impact Almost All Firms Globally, BlueVoyant Reveals

2025/11/20 InfoSecurity — BlueVoyant の新たな調査によると、圧倒的多数 (97%) の組織がサプライチェーン侵害による悪影響を受けている。2024 年に実施された年次調査では、サードパーティ・リスク管理 (TPRM：Third-Party Risk Management) プロバイダーからの回答の 81% が、こうしたインシデントを報告していた。それと比べると、数値が大幅に増加している。

Zoom の複数の脆弱性が FIX：ユーザー権限操作や署名検証の失敗とサプライチェーン攻撃の恐れ

Zoom Vulnerabilities Let Attackers Bypass Access Controls to Access Session Data

2025/11/11 CyberSecurityNews — Zoom が発表したのは、Workplace アプリケーションに影響を及ぼす、複数の脆弱性に対するパッチの情報である。新たに公開された情報では、深刻度 High １件と Medium ２件の脆弱性が明らかになっており、ハイブリッド・ワーク環境で膨大な数のユーザーが利用するビデオ会議ツールの、セキュリティ確保における継続的な課題が浮き彫りになっている。コラボレーション・ソフトウェアに対する攻撃の増加について、サイバー・セキュリティの専門家たちが警告する中で、これらのアップデートは公開されている。一連の脆弱性が悪用されると、不正アクセスやシステム障害の被害にユーザーが遭遇するという。

OWASP Top 10 2025 の改訂版が公開：サプライチェーンなどの新カテゴリーを追加

OWASP Top 10 2025 – Revised Version Released With Two New Categories

2025/11/10 CyberSecurityNews — Open Web Application Security Project (OWASP) が発表したのは、主力プロジェクト “OWASP Top 10 2025” の最新候補版である。今回の第８版は、進化するソフトウェア・セキュリティ脅威に対応するための大幅な更新が施されている。2025年11月6日に公開された改訂版は、コミュニティ調査から得られた意見と拡張データ分析を反映し、２つの新カテゴリーの追加と他カテゴリーの統合により、症状ではなく根本原因を適切に表現するようになった。このリストは、Web アプリケーションのリスク優先順位付けを行う開発者／セキュリティ専門家／組織にとって依然として重要なリソースである。

無印良品に影響を及ぼしたサプライチェーン攻撃：オンラインストアなどに影響

Retail giant Muji halts online sales after ransomware attack on supplier

2025/10/20 BleepingComputer — 日本の小売企業 Muji が発表したのは、配送パートナーの Askul が受けたランサムウェア攻撃が原因となり、オンライン・ストアが停止したという声明である。日本時間の 10月19日 (日) に Muji は、「すべての小売サービスにおいて、オンラインストアでの閲覧と購入／アプリを介した注文履歴の確認／一部の Web コンテンツの表示などに問題が生じている」と発表した。

Axis Communications の脆弱性：Azure の SAS トークンとアクセス・キーが流出

Axis Communications Vulnerability Exposes Azure Storage Credentials

2025/10/13 gbhackers — ネットワークビデオ／監視ソリューションの大手プロバイダー Axis Communications は、Autodesk Revit プラグインに深刻な脆弱性が存在することを認めた。この脆弱性が悪用されると、署名済み DLL 内の Azure ストレージ・アカウントの認証情報が、外部に漏洩する可能性がある。

Shai-Hulud 自己複製ワームが npm レジストリの 500 以上のパッケージを侵害：CISA が警告

CISA Warns of Shai-Hulud Self-Replicating Worm Compromised 500+ Packages in npm Registry

2025/09/24 CyberSecurityNews — CISA が発令した緊急セキュリティ・アラートは、世界最大の JavaScript パッケージ・レジストリである、npmjs.com に対する大規模なソフトウェア・サプライチェーン攻撃に対するものである。500 以上の npm パッケージに侵入した Shai-Hulud と呼ばれる自己複製型ワームは、開発者の認証情報および npm 公開ワークフローを悪用して拡散する、悪意のコードを注入するものだ。

ShinyHunters の活動を分析：音声フィッシングに特化した技術に AI 悪用が加わっている

New ‘shinysp1d3r’ Ransomware-as-a-Service Targets VMware ESXi in Ongoing Development

2025/09/18 gbhackers — AI を悪用する ShinyHunters が、ボイスフィッシング／サプライチェーン侵入に加えて、企業ネットワークへの直接アクセスを提供する従業員や請負業者といった悪意の内部関係者を介して、その活動を拡大していると、EclecticIQ のアナリストたちが高い確信を持って評価している。ShinyHunters は、小売／航空／通信などの業界で利用される SSO (single sign-on) プラットフォームへの、不正アクセスを提供するボイスフィッシング・キットを活用するために、Scattered Spider と The Com のメンバーに依存している可能性が高いとされる。

Shai-Halud による大規模サプライチェーン攻撃：477 件の npm パッケージにバックドアとトロイの木馬

Massive “Shai-Halud” Supply Chain Attack Compromised 477 NPM Packages

2025/09/17 CyberSecurityNews — Shai-Halud と呼ばれる大規模なサプライチェーン攻撃が、npm レジストリを介して JavaScript エコシステムに侵入してきた。CrowdStrike のパッケージなど、合計で 477 個の npm パッケージに仕込まれたのは、認証情報の窃取／ソースコードの流出／開発者マシン上での RCE などを目的とする、ステルス性の高いバックドアおよびトロイの木馬化のモジュールである。

悪意の MCP Server を PoC として構築：任意のコード実行とデータ窃取が実証された

Threat Actors Exploit MCP Servers to Steal Sensitive Data

2025/09/16 gbhackers — 検証されていない MCP (Model Context Protocol) サーバは、攻撃者によるマルウェアの配備を必要とすることなく、ステルス性の高いサプライチェーン攻撃ベクターを生み出し、認証情報／コンフィグ・ファイルなどの機密情報の収集を可能にする。この MCP とは、AI アシスタント向けの新しい “plug-in bus” であり、外部ツールやデータソースと AI モデルとの間のシームレスな統合を実現するものだ。