A
Aikido Community
Intel 一覧に戻る
Aikido Intel 日次2026年5月23日(土)

【2026/05/23】Aikido Intel 日次 — Laravel-Lang 233バージョンに credential stealer 注入、nimiq ブロックチェーン系に Critical 2件、django-cms Pre-CVE

2026年5月22日、Aikido が Laravel-Lang パッケージへのサプライチェーン攻撃を検知。GitHub タグを悪用し233バージョンに credential stealer を注入。同日 Aikido Intel に脆弱性8件(Critical 2、High 3、Medium 3、Pre-CVE 1)が公開。nimiq ブロックチェーン系5件と redshift_connector の Critical Code Injection が目立つ。

マルウェア
0
Critical
3
High
3
脆弱性合計
13
pre-CVE
1
PackagistnpmRustPyPi🚨 Laravel-Lang credential stealer🚨 nimiq-block Integer Overflow🚨 redshift_connector Code Injection🚨 django-cms XSS Pre-CVE

マルウェア 0 Critical 2 High 3 脆弱性合計 8 pre-CVE 1 Packagist npm Rust PyPi 🚨 Laravel-Lang credential stealer 🚨 nimiq-block Integer Overflow 🚨 redshift_connector Code Injection 🚨 django-cms XSS (Pre-CVE)

2026年5月22日、Aikido が Laravel-Lang パッケージへのサプライチェーン攻撃を検知・報告。攻撃者は GitHub のタグ機能を悪用し、公式リポジトリに一切コミットせずに 233バージョンへ credential stealer を注入した。Packagist も即座に悪意あるバージョンを削除。5月21日レポートの Symfony CVE 一括公開、VS Code 拡張経由の GitHub 侵害に続き、攻撃面は npm エコシステムから PHP/Packagist へと広がっている。

注目1: Laravel-Lang 233バージョンに credential stealer 注入（2026年5月22日検知）

Aikido が2026年5月22日に検知し、メンテナーおよび Packagist へ即時報告。攻撃の構造は以下の通り。

攻撃手法：GitHub タグの悪用

攻撃者は公式リポジトリに直接コミットせず、フォークリポジトリ上の悪意あるコミットに対して正規のバージョンタグを作成。GitHub はタグが同一リポジトリ起源のフォークを指すことを許容するため、Packagist 経由で composer update した開発者に悪意あるコードが配布された。

影響範囲

  • 対象パッケージ：Laravel-Lang/lang、Laravel-Lang/http-statuses、Laravel-Lang/attributes、Laravel-Lang/actions
  • 影響バージョン数：233（12.x、13.x、14.x、15.x にまたがる）
  • 影響リポジトリ数：700以上
  • タグ公開時期：2026年5月22日〜5月23日（数秒間隔で連続公開）

マルウェアの機能

注入された src/helpers.php は Composer の autoload.files 経由で自動実行され、以下を実行。

  • SSL検証を無効化し、C2サーバー（flipboxstudio.info/exfil）から第2段階ペイロードを取得
  • 15種の専用コレクターモジュールで認証情報を体系的に収集
  • 対象：AWS/GCP/Azure/DigitalOcean クラウドアクセスキー、SSH鍵、データベース認証情報、ブラウザ保存パスワード、暗号ウォレット、Kubernetes設定
  • AES-256で暗号化後に窃取データを送信、自身を削除して痕跡を消去

5月21日レポートの Symfony CVE 一括公開との関連

同じ PHP/Packagist エコシステムで、5月21日に Symfony 関連10件の CVE が一括公開された直後のタイミング。Symfony パッチ適用でバタつく PHP 運用チームに対して、依存パッケージ更新の混乱に乗じる形での攻撃ともとれる。

注目2: 攻撃面の拡大 — npm → VS Code Marketplace → Packagist

5月19日レポート以降の攻撃ベクトルの推移。

日付攻撃対象エコシステム手口
5月19日durabletask、@antvnpmMini Shai-Hulud ワーム
5月20日Nx Console (2.2M installs)VS Code Marketplace拡張機能18分間 compromised
5月20日GitHub 従業員端末VS Code 拡張経由開発者デバイス侵害 → 3,800リポジトリ exposed
5月21日Google API キーGCP削除後23分間 revoke されない
5月21日Symfony 関連パッケージPackagistCVE/Pre-CVE 10件一括公開
5月22日Laravel-LangPackagistGitHub タグ悪用 → 233バージョン compromised

攻撃面が npm 単体から、VS Code Marketplace、Packagist/Composer へと拡散しており、「特定エコシステムの監視だけでは不十分」という状況が明確になっている。

注目3: Gitleaks 代替ツール比較（2026年5月22日公開）

Aikido blog が2026年5月22日付で Gitleaks の代替シークレットスキャナー5選を公開。上記の credential stealer 事案が連続する中、リポジトリ内のシークレット検出は防御の基本線として重要性が増している。

開発者向けアクション

PHP/Laravel 環境（最優先）

  • composer show laravel-lang/* で Laravel-Lang パッケージの使用有無とバージョンを即時確認
  • composer.lock のハッシュを公式リポジトリのコミットハッシュと照合
  • 該当バージョンを使用していた場合、環境変数・クラウドアクセスキー・SSH鍵・DB認証情報のローテーションを実施
  • Packagist が悪意あるバージョンを削除済みのため、composer update で安全なバージョンに更新

継続中の点検（5月19日以降）

  • npm：npm ls で durabletask、@antv 関連パッケージの確認（5月19日レポート）
  • VS Code：インストール済み拡張の直近30日の更新履歴確認、auto-update 一時無効化の検討（5月21日レポート）
  • Google API キー：リーク対応手順を「削除＋30分間ログ監視」に更新（5月22日レポート）
  • Symfony：symfony/security-http 等のパッチ適用（5月22日レポート）

Aikido Community Japan

公開日: 2026/5/23

最終更新: 2026/6/3

前日のレポート
【2026/05/22】Aikido Intel 日次 — Symfony 大量 CVE 一括公開、GitHub は VS Code 拡張経由で侵害、Nx Console 18分間 compromised
2026/5/22
翌日のレポート
【2026/05/24】Aikido Intel 日次 — 脆弱性新規 0件、npm typosquat malware 52件継続検出 (LLM/AI 系パッケージ名標的)、Packages feed は npm リリース流入継続
2026/5/24
他の Intel レポートを見る