攻撃の概要
2026年8月4日(火)朝(米国時間)、SocketとWizの研究者は、メンテナ口座Jaredwrayの侵害を契機にkeyvとcacheable名前空間でnpmサプライチェーン攻撃が始まったと伝えました。週間ダウンロードは数千万規模で、多くは間接依存です。
拡散の仕組み
悪意ある版はpreinstallフックでBunを入れMath_Symbol.jsを実行し、クラウド鍵やnpmトークンを奪い、盗んだトークンで他パッケージを再公開します。データは**"Shai-Hulud: Here We Go Again"**と記されたGitHubリポジトリへ送られます。
対応
クリーンな版にピン留めし、lockfileを再構築し、アカウントを監査して資格情報をローテーション。トークン更新の前に悪意あるローダーを除去してください。