セキュリティスキャナ「Trivy」に不正コード混入 - 侵害有無の調査を

Aqua Securityが開発しているオープンソースのセキュリティスキャナ「Trivy」の配布環境が侵害され、一時悪意あるコードが混入されたことがわかった。認証情報を窃取されるおそれがあり、すでに悪用が確認されているという。

今回の問題は、サプライチェーン攻撃を受けて現地時間2026年3月19日に不正なリリースが公開されたもので「CVE-2026-33634」が付番されている。

取得した認証情報を用いて不正アクセスし、「Trivy 0.69.4」における「trivy-action」「setup-trivy」のバージョンタグを改ざん。悪意あるプログラムを配布した。

「Trivy 0.69.4」については、世界標準時2026年3月19日18時20分ごろより21時半過ぎにかけて約3時間にわたり不正なプログラムが配布された。

コンポーネントとなる「setup-trivy」については、同日17時半過ぎより約4時間、「trivy-action」は、翌日20日5時40分ごろにかけて約12時間にわたり改ざん状況が続いた。

（Security NEXT - 2026/03/27 ）ツイート