【2026/05/20】Aikido Intel 日次 — npm マルウェア31件集中検出、vm2 で RCE 5連発、Claude Code 本体に Pre-CVE

概要

5月20日時点で Aikido Intel に 本日のうちに31件のマルウェアパッケージバージョン（15パッケージ） が登録された。並行して5月19日付で公開された脆弱性22件のうち、vm2 1ライブラリだけで9件（Critical RCE 5件含む）、さらに @anthropic-ai/claude-code 本体に Pre-CVE High RCE、Critical RCE の liquidjs、LLM エージェント系 smolagents の Critical Deserialization など、AI 開発・運用基盤を直撃する内容が集中している。

5/19付で公開された大型インシデント記事も同日に2本立てで投下されており（durabletask / @antv）、Mini Shai-Hulud キャンペーンが PyPI と npm を同時に押し続けている。

数値サマリ（24時間）

マルウェア検出ハイライト（npm 中心）

過去6時間以内の検出から、注目クラスタ：

• did-0091 — 1〜2時間内に 6バージョン が立て続けに検出（v11.0.5 / 11.0.6 / 11.0.7 / 11.0.9 / 11.1.7 / 11.1.8）。同一スコープの大量パブリッシュ典型パターン。
• nw-demo / nw-demo-utils — 100.x.x や 1.0.x など複数バージョンを同時投下。
• env-security-scanner — v1.4.0 / 1.5.0 / 1.6.0 の3バージョン。「セキュリティスキャナ」名乗りで開発者を誘うネーミング。
• ai-forge-cli — v2.1.5 / 2.1.6 の2バージョン。AI関連ツールに見せかける典型。
• ict-ui-carbon / ict-api-foundations — どちらも v99.99.99（typosquat マーカー）。
• @koblers/cd-plgn — 略称ぽい怪しいスコープ。
• その他: ether-core, collected-forms-embed-js, chai-as-buffer, chai-use-chain, omega-memory, seobot-ai, @tbe-ui/ides, conducts, zxmzmz など。

脆弱性ハイライト（5/19公開）

1. vm2 で9件まとめて発見 — Critical RCE 5連発

Node.js のサンドボックス vm2 で大量の脆弱性が同日公開：

vm2 はメンテナンス停止アナウンス済みのため、依存している場合は isolated-vm 等への移行を本格検討すべき。

2. @anthropic-ai/claude-code に Pre-CVE High RCE

Claude Code（Anthropic 公式 npm パッケージ）に Remote Code Execution の Pre-CVE 高重要度が登録。AIKIDO-2026-10821。詳細は公開されていないが、AI コーディングエージェントが活発に使われる現状で影響は広い。導入チームは Aikido Intel または GitHub Advisory のフィードを購読し、パッチリリースの発表を即時で拾える体制が望ましい。

3. その他の注目

• liquidjs — Critical RCE Pre-CVE（AIKIDO-2026-10837）+ Medium ReDoS。テンプレートエンジン経由の RCE は影響範囲大。
• smolagents — Critical Deserialization of Untrusted Data（CVE-2025-14931）。Hugging Face の LLM agent ライブラリ。
• axios — Pre-CVE が2件（ReDoS + Uncontrolled Resource Consumption）。バージョン依存先が広いため要追跡。
• agno — High IDOR（Pre-CVE）。5/8 公開分の SSRF / Auth Bypass と合わせて3件目の脆弱性。
• @nevware21/ts-utils — High Prototype Pollution（CVE-2026-46681）。

大型インシデント（5/19公開）

Mini Shai-Hulud 同日2本立て

5月19日に Aikido Intel が同日に2件の大型サプライチェーン攻撃情報を公開した。両方とも継続中の Mini Shai-Hulud キャンペーン の一部で、PyPI と npm を同時押し。両攻撃に共通する特徴として、AWS / Azure / GCP / Kubernetes の credentials だけでなく、Cursor / Claude Code / VS Code の MCP 設定ファイルが明示的に窃取対象となっている。

durabletask（PyPI） — Microsoft Azure 関連の Python パッケージ。v1.4.1 / 1.4.2 / 1.4.3 が汚染、import durabletask 時に dropper 起動。二次ペイロード rope.pyz が AWS SSM・kubectl exec で横展開、イスラエル/イラン locale 検出時に 1/6 確率で rm -rf /*。重要 IOC: check.git-service[.]com、~/.cache/.sys-update-check、pgsql-monitor.service。

@antv 系（npm） — Alibaba @antv スコープ、echarts-for-react、timeago.js 汚染。CI/CD secrets 窃取後、被害者の npm パッケージを再パブリッシュして自己拡散。VS Code / Claude Code に backdoor 仕込み。

連続攻撃タイムライン（直近1ヶ月）：

• 4月23日: @bitwarden/cli v2026.4.0（"Shai-Hulud: The Third Coming"）
• 4月29日: SAP npm パッケージ群（Bun-based preinstall stealer）+ 偽 tanstack
• 4月30日: PyTorch Lightning v2.6.2 / 2.6.3
• 5月11日: TanStack / Mistral 含む169 npm パッケージ
• 5月19日: durabletask（PyPI）+ @antv（npm）

開発者向けの対応

1. vm2 依存の棚卸し（npm ls vm2 で確認、isolated-vm への移行を検討）
2. Claude Code 利用チームは Aikido Intel / GitHub Advisory のフィード購読、パッチ即時適用体制を整備
3. 依存ツリーの確認（pip list | grep durabletask、npm ls @antv）
4. 感染確認（~/.cache/.sys-update-check、/etc/systemd/system/pgsql-monitor.service の存在チェック）
5. credential ローテーション（感染が疑われる場合は AWS / Azure / GCP / SSH / npm / pip / GitHub PAT を全面更新）
6. AI ツール設定の見直し（~/.cursor/mcp.json、~/.config/claude/claude_desktop_config.json、~/.vscode/mcp.json）
7. ネットワーク層ブロック: check.git-service[.]com、t.m-kosche[.]com

関連リンク

• durabletask 詳細解析
• @antv 攻撃詳細
• Aikido Intel feed
• Aikido Intel malware feed
• Safe Chain（オープンソース）