複数ソフトが改ざん被害、正規ルートで汚染版が流通 - 米当局が注意喚起

また開発ツール「Nx」や「Lerna」向けのユーザーインタフェースであり、コードエディタ向け拡張機能として提供されている「Nx Console」も侵害を受けた。

協定世界時2026年5月19日12時半ごろ、悪意ある「同18.95.0」が「Visual Studio Marketplace」や「OpenVSX」で一時公開された。認証情報を窃取するよう改ざんされており、「CVE-2026-48027」として追跡されている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2026-48027」「CVE-2026-8398」が「9.8」、「CVE-2026-45321」が「9.6」とされており、いずれも重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

米国内の行政機関では、これらの脆弱性に対してベンダーからの情報を踏まえて対策を講じたり、状況によっては利用を中止する義務がある。

なかでも「DAEMON Tools Lite」については、3日後の現地時間2026年5月30日が期限とされており緊急を要する。のこる2件についても6月10日までに対応するよう求めた。またこれらソフトウェアの利用者も同様に注意が必要となる。

（Security NEXT - 2026/05/28 ）ツイート