Keyvとその関連パッケージがShai-Huludサプライチェーン攻撃により侵害される
Keyv and friends compromised in active Shai-Hulud supply chain attack
2026年8月4日、キーバリューストレージライブラリ「keyv」のメンテナーのGitHubアカウントが侵害され、関連するパッケージファミリー全体に認証情報窃取型ワームが注入された。この攻撃により、週に約1億2700万回のダウンロードがあるkeyvに加え、cacheable(月2900万DL)、flat-cache(月5億6500万DL)、file-entry-cache(月5億5700万DL)など、広く使われているキャッシュユーティリティも影響を受けた。攻撃者は悪意のあるファイルを直接メインブランチにプッシュし、すぐに新しいリリースを行ったため、汚染されたバージョンはGitHub Actionsによって署名された有効なプロビナンスと共にnpmに公開された。このワームは、少なくとも868パッケージ(1381バージョン)に感染し、合計20億以上の月間インストール数に影響を与えた。感染したパッケージは、npm install実行時に自動的に実行される「setup.mjs」スクリプトを含み、これがBunランタイムを使用して「Math_Symbol.js」ペイロードを実行する。このペイロードは、npmトークン、GitHubトークン、AWS認証情報、Kubernetesシークレット、HashiCorp Vaultトークン、StripeおよびSlackトークン、さらには一般的なファイルシステム内の秘密情報を窃取し、暗号化して公開GitHubリポジトリに送信する。また、他のメンテナーやパッケージに感染を広げるワーム機能も持つ。
- 2026年8月4日、Keyvのメンテナーアカウントが侵害され、サプライチェーン攻撃により関連パッケージ全体に認証情報窃取型ワームが注入された
- 攻撃は少なくとも868パッケージ(1381バージョン)に感染し、合計20億以上の月間インストール数に影響を与えた
- 感染したパッケージの悪意あるペイロードはnpmトークン、GitHubトークン、AWS認証情報、Kubernetesシークレット、HashiCorp Vaultトークン、Stripe・Slackトークン等の秘密情報を窃取し、公開GitHubリポジトリに送信するワーム機能を持つ
オープンソースのサプライチェーン攻撃はセキュリティ分野における主要リスクであり、今回のKeyv侵害は広範な影響(月間20億以上のインストール数)を伴う重大事件。npmエコシステムにおけるサプライチェーンセキュリティ対策への投資・需要が今後一層高まることが見込まれ、認証情報管理、秘匿計算、サプライチェーン検証ソリューションに注力する企業への投資機会として注目に値する。