セキュリティスキャナ「Trivy」に不正コード混入 - 侵害有無の調査を

「trivy-action」については77件あるリリースのタグのうち、76件について上書きされており、情報を窃取することを目的としたコードが混入。「setup-trivy」に関しても、「同0.2.0」から「同0.2.6」までの7件のタグが悪意あるコミットへ置き換えられた。

その後攻撃者は、「Docker Hub」の認証情報も悪用して、悪意あるコードを含む「Trivy 0.69.6」「同0.69.5」のコンテナイメージを配布。2026年3月22日に約10時間にわたり公開されたという。

挿入された不正なコードは、「GitHub Actions」のメモリをダンプし、SSHキーやクラウド認証情報、Kubernetesトークン、データベース認証情報などを窃取し、暗号化して外部へ送信しようとしていた。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.4」、重要度を「クリティカル（Critical）」と評価している。

侵害を行った攻撃者は、2026年2月下旬よりサプライチェーン攻撃を展開し、GitHub Actions環境における設定ミスを悪用して特権アクセストークンを抽出していた。3月1日にインシデントが判明し、認証情報のローテーションを行ったものの、対応が不十分だった。

（Security NEXT - 2026/03/27 ）ツイート