記事の概要を読む
axiosのnpm供給チェーン侵害について、Google・Microsoft・メンテナーの公開情報をもとに影響版と確認対象を整理。ロックファイル、CI/CDランナー、キャッシュ、認証情報の初動チェックリストを示します。安全な版への更新だけで調査を終えない判断、記録と再開条件も確認できます。
掲載情報は公開・更新時点の内容です。影響版・修正版・悪用状況は、対応時に出典の公式情報を再確認してください。
この記事の目次 7項目から選ぶ
何が起きたか：影響版と公式調査の範囲
Google Threat Intelligence Groupの2026年3月31日の調査は、npmのaxios 1.14.1・0.30.4に悪意ある依存関係が追加されたと報告しています。同調査は活動をUNC1069に帰属させていますが、これは調査元の評価です。
Microsoftの4月1日の調査も、対象パッケージの影響確認と対応を案内しています。現時点で公開情報から確認できる範囲では、自社の侵害・漏えい件数をこれらの報告から推定することはできません。
まず既存の記録から影響版の利用を調べます。疑わしい環境でパッケージを再インストールして確かめたり、公開された悪用コードを実行したりしません。
- 記録
ロックファイル、ビルド記録、取得物、キャッシュを照合する。
- 環境
開発端末、ランナー、コンテナ、配布物の実行状況を分ける。
- 権限
環境から利用できた秘密と権限を確認し、失効・保護を判断。
影響を確認する担当者
- 開発者：直接・間接の依存、ロックファイル、手元の端末での導入状況を確認する。
- CI/CD担当：ビルド・インストールの記録、ランナー、再利用キャッシュ、成果物を照合する。
- 情シス・クラウド担当：対象環境から利用できた認証情報と、その利用ログを確認する。
- SaaS・委託管理者：委託先やサービス提供者へ、利用有無、調査範囲、対応状況を確認する。
公開されていた時間だけで対象を限定しません。キャッシュ、ミラー、成果物に残ったパッケージが後から利用される可能性も調査対象です。「現在のロックファイルにない」だけでは、過去の実行を否定できません。
まず確認するチェックリスト
- 対象の記録にaxios 1.14.1・0.30.4が含まれていたか確認する。
- 公式調査で関連するとされる
plain-crypto-jsの記載・取得記録も照合する。 - 依存の記載だけか、取得・インストール・実行まで進んだかを分ける。
- インストール時スクリプトの実行設定、使用したパッケージ管理ツール、時刻を残す。
- ランナー・コンテナ・開発端末のどこで処理したか、再利用されたかを確認する。
- CIトークン、クラウド権限、SSH鍵等へ、その環境からアクセスできたか調べる。
- 不審な通信、認証情報の利用、管理操作を、承認された監視・ログで確認する。
これは編集部が整理した防御用チェックリストです。製品の検知が出ていないことだけで、無影響を確定しないでください。
推奨する初動：やること・やらないこと
実行または侵害を疑う場合、セキュリティ担当へ直ちに報告し、対象の利用停止・隔離と証拠保全を調整します。業務停止の判断は責任者と行い、元の記録を独断で削除しません。
Googleの対処案内は、影響するホストの隔離、露出し得た認証情報のローテーション等を挙げています。失効や置き換えは、対象の権限・利用履歴・依存サービスを把握したうえで安全な管理経路から行います。調査対象の端末へ新しい秘密を再配布しないようにします。
やってはいけないのは、疑わしいランナーで再ビルドして確認する、取得物を無断で外部解析へ送る、更新だけで過去の調査を終了することです。ロックファイルやバージョン固定も、固定先が悪意ある版なら保護にはなりません。既知の脆弱性チェックである監査機能と、侵害の調査を混同しないでください。
再開条件と記録のテンプレート
再開時は、承認したクリーンな環境、公式に確認した配布物・版、見直したキャッシュ、必要な認証情報の保護、監視の継続を確認します。当時案内された版をそのまま「現在の推奨最新版」とせず、現行のメンテナー案内とサポート状況も照合してください。
| 記録する項目 | 内容 |
|---|---|
| 対象 | 資産・プロジェクト・責任者 |
| 根拠 | 公式URL、確認日時、対象版の記録 |
| 実行 | 導入・ビルドの時刻、環境、スクリプト設定 |
| 影響 | 利用できた権限、関連ログ、確認済みと未確認 |
| 対応 | 保全・隔離・失効・再構築の承認と結果 |
| 再開 | 検証、監視、未完了の責任者と期限 |
秘密値や詳細な内部構成は公開の報告へ載せません。侵害の兆候や重要な権限へのアクセスが疑われる場合は、通常の依存更新ではなくインシデント対応へ引き継ぎます。
関連するCyberLensの実務・学習
SBOM・OSVによる依存関係の確認、GitHubシークレット漏えいの初動、インシデント対応、サプライチェーン攻撃、実務集も参照してください。
公式情報・参考情報
- Google GTIG: Axios npmパッケージの供給チェーン侵害 — 2026年3月31日の一次調査。
- Microsoft Security Blog: Mitigating the Axios npm supply chain compromise — 4月1日の一次調査と防御案内。
- Azure DevOps Blog: Azure Pipelines利用者向け案内 — 対象サービスの公式対応案内。
- axios/axios Issue #10604 — メンテナープロジェクトの公開議論。個々のコメントを確定事実として扱わない。
編集上の訂正（2026年10月10日）：旧本文の「全クラウド環境の80%」という母集団不明の説明、未確認の公開経路・機能の断定、調査対象で再インストールする操作を削除しました。一次調査の範囲と自社で確認する事項を分けています。
