Shai-Hulud再来？侵害されたBitwarden CLIに自己増殖型npmワームが含まれる

【なぜ重要か】 週78,000ダウンロードされる@bitwarden/cli npmパッケージのバージョン2026.4.0が悪意のあるコードに感染し、開発者の認証情報を盗み自己増殖する高度なワーム「Shai-Hulud: The Third Coming」が含まれていることが判明しました。Checkmarx侵害事件の影響でBitwardenのCI/CDパイプライン自体が感染し、信頼できる公式パッケージ名で悪意のあるコードが配布される事態となっています。

【ポイント】

• パッケージインストール時に自動実行される多段階攻撃で、SSH鍵、クラウド秘密情報、MCP設定ファイルなど開発者の認証情報を窃取
• AWS SSM Parameter Store、Azure Key Vault、GCP Secret Managerなどクラウドサービスの秘密情報も環境認証情報を使用して収集
• 被害者のGitHubアカウントで公開リポジトリを作成し盗んだデータを流出させ、GitHubトークンを他の感染マシンが再利用できる場所に公開して拡散
• 主要C2サーバーはaudit.checkmarx[.]cx（正規のCheckmarxドメインではない）で、フォールバック機構としてGitHubコミット検索を使用
• BitwardenのCI/CDパイプライン（publish-ci.yml）自体が感染し、正規の@bitwardenブランド名で悪意のあるパッケージ公開を可能にした

【まとめ】 開発者は@bitwarden/cli@2026.4.0の使用を即座に停止し、システムをスキャンして認証情報の漏洩確認を行う必要があります。AikidoユーザーはマルウェアIssueフィルターで検出状況を確認し、未利用者も無料プランでマルウェア検出機能を利用できます。