knowledge-flow
← Categories

Supply Chain

67 件の記事

2026

11

  1. An update on our recent security incident · Cursor
  2. wfx-loot: what the stealer leaves behind after you rotate the GitHub secrets
  3. Uber confirms hackers stole thousands of drivers’ license information in data breach
  4. Notionの「AIチャット流出懸念」影響広がる 国内企業が相次ぎ報告 「打ち合わせ内容」も漏えいか
  5. GitHub Actions を狙った広域サプライチェーン攻撃（11/10~11/12）に関する注意喚起
  6. Lock your GitHub Actions
  7. 一部のNotionワークスペースに影響を与える可能性があるFireworks AIのインシデントに関するお知らせ
  8. PyPI's redesigned project pages with clearer security signals are now live
  9. DependabotがAgent Package Managerに正式対応、AIエージェント用スキルの更新もプルリクエストで提案
  10. モスやワークマン、IIJmioも アララへの不正アクセスで顧客情報の流出発表相次ぐ
  11. [SECURITY] [DSA 6607-1] apt security update
  12. Binance、約1兆円相当の暗号資産が流出した問題に関し、検索エンジンに表示されたWebサイトから改ざんされたHomebrewをインストールした事が始まりだったと発表。
  13. GitHub ActionsのSHAピン留めを設定で強制する。何が止まるか、lockfileならタグのまま通せるかを試す
  14. OSを更新しても防げない　「Brotli」に重大脆弱性、Node.jsに潜む“見えない侵入口”
  15. npm ci 時に常に npm audit signatures をする - プププなテクブ

10Claude Code拡張の裏口と、Actionsのlockfile

  1. Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
  2. GitHub Actions の lockfile対応 - 利用者と提供者両方の観点から | おそらくはそれさえも平凡な日々
  3. No, npm, “estee” is not a typo of “testem”
  4. Trojanized Claude Code Extension Plants an SSH Backdoor
  5. OVHcloud CLIのリリース差し替えから学ぶ、GitHub Releasesの改ざん対策：イミュータブルリリースとgh release verify-asset
  6. 「Claude Mythos 5」、危害の兆候を顧みず実在の開発者を標的に──AnthropicとAISIが分析結果を公開
  7. Railway Preliminary Report: Oct 21st Security Incident
  8. Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
  9. Sonatype Nexus now requires mandatory telemetry gathering
  10. なんと23の主要なオープンソースプロジェクトのうち11は1人または2人で運営されている実態が明らかに
  11. Python's binary wheels and supply chain attacks
  12. GitHub Actionsのworkflow lockfileを試す。actions.lockで依存をcommitに固定し、ズレたら実行前に止める
  13. Package managers have an integrity problem
  14. Bloom Security Found a Supply-Chain Vulnerability Exposing 1,500 npm Packages to Malicious Takeover
  15. 約147億円が一斉に流出。東南アジアでスパイウェア入りの暗号キーが出回る
  16. GitHub Actions上で証明書を付与するサプライチェーン構築 | おそらくはそれさえも平凡な日々
  17. 大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命――5社に影響した「同じ委託先」への不正アクセス 各社はどう動いた？
  18. I got targeted: Trying to get your credentials via a git post-checkout hook

09SSHで自己増殖するワームと、狙われる開発者

  1. nine npm packages shipping worm that spread by itself over SSH
  2. LuaRocks Security Incident September 2026
  3. 「OSSレジストリのただ乗りは限界」　GoogleやMicrosoftなど12社が企業の費用負担を巡り共同声明
  4. Latest BGP hijack targets hosting software vendor
  5. Why does mathmain need an encrypted loader?
  6. bashka: Stop running unverified bash scripts to install software
  7. HEIF Heist
  8. Inside ZCode: Silently uploading your Git history to the cloud
  9. My temporary PHP fix from 2014 has nearly 20M installs. Today I'm deprecating it
  10. Be alert: targeted attacks on prominent Rustaceans
  11. OpenAI agents carried out an undisclosed attack on RubyGems
  12. Scammers target hundreds of thousands of crypto owners after Trezor confirms data breach of email provider
  13. 攻撃者が狙うのは本番環境より「開発者」　npm installするだけで侵害される時代の守り方
  14. Trusting-Trust Attack against an Entire Linux Distribution (via the strip utility)
  15. Security Incident – BGP Hijacking

08npm・Rust のパッケージ汚染と、中国製機器の排除

  1. You Secured the App. Who's Securing You? (The React Native Developer's Security Guide)
  2. Bumply
  3. ビルド時に不正コードが実行されるRustパッケージの改ざんについてまとめてみた - piyolog
  4. Supply chain attack on arrayref
  5. npm代替を目指すパッケージマネージャvltを触ってみた
  6. What's missing to have reproducible builds on PyPI
  7. ソニーとTSMCが熊本県合志市にスマホ向けイメージセンサー開発・製造のための合弁会社を設立
  8. CNCF、コンテナ自動生成の「Cloud Native Buildpacks」を卒業プロジェクトに認定
  9. GitHub ActionsのOIDCトークンには「宛先」の制限が必要だ
  10. 中国 Zbtlink 製ルータに出荷時からバックドア、推定 10 万台規模
  11. 開発者を狙う“自己拡散型npmワーム”の全貌 400超のパッケージに感染拡大
  12. 米政府、中国製データセンター機器の輸入を禁止する方針
  13. 月20億回インストールされる npm パッケージ群が乗っ取られる大規模サプライチェーン攻撃
  14. npmサプライチェーン攻撃「Shai-Hulud」が再燃、keyvなど434パッケージに拡散
  15. Arch Linux、マルウェア混入を受けてAURのパッケージ引き取りを停止
  16. 北朝鮮ハッカー、npmの人気パッケージを1年かけて汚染。axiosなど週1億DL級も標的に

07自己増殖マルウェアと、Dependabot の3日待機

  1. Disrupting supply chain attacks on npm and GitHub Actions
  2. ClaudeやCursorを狙う自己増殖型マルウェアがnpmで発見される
  3. GitHub、Dependabotの自動更新に「3日間の待機」を標準導入