# npm経由で開発環境へ。依存パッケージと鍵を点検

Canonical: https://security.qutori.jp/article/npm-shaihulud-aug2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本サイト確認日: 2026-10-24

CSAはKeyvなどのnpmパッケージの悪意あるバージョンへの注意を呼びかけました。開発者の認証情報を盗み、別のパッケージを介して広がるソフトウェア供給網の攻撃です。

日本語要約・編集：バグマゲドン対策委員会。本記事公開・確認：2026-10-24。

原文発行：Cyber Security Agency of Singapore / 原文公表：2026-08-06。

## 対象と影響

Node.jsを使う制作・開発会社では、自社コードが無事でも外部ライブラリから開発PCやビルド環境が影響を受ける可能性があります。

## 自社で確認すること

使ったパッケージのバージョンを確認し、該当する場合は鍵も更新する。

1. 開発・ビルド・CI環境で、勧告に列挙された不正バージョンの利用を調べて除去する。
2. 実行された場合は環境の再構築を検討し、アクセス可能だったクラウド鍵やGitHubトークンを更新する。
3. ソース管理・クラウドの不正アクセスを確認し、依存関係の整合性と出所の検証を強化する。

## 攻撃の流れと防御の確認箇所

外部パッケージ → 開発・ビルド環境 → トークン・鍵を窃取 → 別のサービスへ侵入

防御の確認箇所：依存関係の検証と漏れた鍵の無効化

## 優先度の考え方

優先対応。正規パッケージ配布経路を通じて秘密情報が盗まれるため。該当バージョンを使ったかで判断する。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 報告の範囲

npm利用組織に向けた勧告。国別の被害分布は示されていない。

## 原文と確認箇所

- [Cyber Security Agency of Singapore — Ongoing npm Supply Chain Attack Affecting Keyv and Related Packages (Shai-Hulud Worm)](https://www.csa.gov.sg/alerts-and-advisories/advisories/ad-2026-009/)

CSAの8/6付公式勧告。Affected Product VersionsとRecommended Actionsを確認。新着ではなく継続確認用。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)