複数ソフトが改ざん被害、正規ルートで汚染版が流通 - 米当局が注意喚起

米当局は、ソフトウェアのサプライチェーン侵害に起因する脆弱性3件について注意を呼びかけた。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年5月27日、「CVE-2026-8398」「CVE-2026-45321」「CVE-2026-48027」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。いずれも提供元の侵害や正規経路による配布など、サプライチェーン侵害に起因する問題となる。

「CVE-2026-8398」は、ディスクイメージ管理ソフト「DAEMON Tools Lite」の正規インストーラが侵害された問題。Windows版の「同12.5.0.2421」から「同12.5.0.2434」が影響を受ける。

提供元のAVB Disc Softのビルド基盤、あるいは配布基盤が侵害を受けたもので、「DTHelper.exe」など3件のバイナリが改ざんされた。現地時間2026年4月8日ごろから5月5日にかけて正規のウェブサイトで配布され、AVB Disc Softの正規証明書でコード署名されていたという。

一方、ウェブアプリ開発用のJavaScriptライブラリ群である「TanStack」では、「npmパッケージ」における侵害が判明した。協定世界時2026年5月11日19時過ぎに42件のパッケージにおいて、84件の悪意あるバージョンが公開されたもので、「CVE-2026-45321」が割り当てられている。

（Security NEXT - 2026/05/28 ）ツイート

複数ソフトが改ざん被害、正規ルートで汚染版が流通 - 米当局が注意喚起

関連リンク

PR

関連記事