2026年3月31日、JavaScript の定番 HTTP クライアント axios の npm 配布版に、悪意あるバージョンが混入していたことが分かりました。影響が確認されているのは axios@1.14.1 と axios@0.30.4 です。 これは「axios に脆弱性が見つかった」という話ではなく、npm で配られた ...

オープンソースのJavaScript HTTPクライアント「Axios」に不正なコードが仕込まれたサプライチェーン攻撃。発端となったソーシャルエンジニアリングの手口が明らかになったことで、標的はAxiosにとどまらず、オープンソースエコシステムを狙った攻撃が他にも多発している実態が浮かび上がった。

2026年3月31日、みなさんご存知の axios が攻撃されました。 axios って、npm で毎週1億回近くダウンロードされている、JavaScript 界隈では定番中の定番の HTTP ライブラリですよね。今回、その管理者の npm アカウントが第三者に奪われて、悪意のあるコードが混入 ...

JavaScriptライブラリ「Axios」がサプライチェーン攻撃を受けてリモートアクセス型トロイの木馬を仕込まれた件で、Googleのセキュリティ研究者が調査報告書を提出しました。Googleは、早くとも2018年から活動している北朝鮮関連の脅威アクター「UNC1069」が関与 ...

攻撃者は何かしらの方法で入手したaxiosメンテナーの認証情報を悪用し、改ざんしたパッケージ「axios@1.14.1」および「axios@0.30.4」を公開したとされる。これらパッケージには依存関係として「plain-crypto-js@4.2.1」が挿入されており、このパッケージが ...

この攻撃ではノードパッケージマネージャー(npm: Node Package Manager)から悪意のあるaxios@1.14.1およびaxios@0.30.4が配布され、当該バージョンをインストールしたWindows、macOS、Linux環境に遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)が展開された。被害環境は ...

OpenAIは4月11日、macOS向け自社アプリのセキュリティ証明書を更新すると発表。ChatGPT DesktopやCodex App、Codex CLI、Atlasで、すべてのユーザーに最新版への更新を呼びかけた。3月31日に発生した、JavaScriptライブラリ「Axios」のサプライチェーン攻撃が背景にある。

マイクロソフトは4月1日、オープンソースのJavaScript HTTPクライアント「Axios」にマルウェアが組み込まれていた問題について、主な手口と犯行グループに関する情報を公開した。 マイクロソフトによると、今回の手口は大きく2段階にわかれている。 第1段階 ...