Laravel Langのパッケージ数百件、サプライチェーン攻撃で侵害される

Laravel Langのパッケージ数百件、サプライチェーン攻撃で侵害される

BleepingComputer – May 23, 2026

Laravelの多言語対応を行うためのLaravel Langパッケージ群が新たなサプライチェーン攻撃の標的になっていることを、StepSecurity、Aikido Security、Socketが報告。これらのパッケージには、認証情報窃取型マルウェアを展開するための悪意あるコードが含まれていたという。

研究者らによると、攻撃者は完全に新しい悪性パッケージを公開するのではなく、Laravel Lang組織が管理するリポジトリにおけるGitHubのタグを書き換えることで侵害を達成していたとされる。「攻撃者は、新しい悪意のあるバージョンを公開するのではなく、各リポジトリ内の既存のGitタグをすべて書き換え、新しい悪意のあるコミットが指し示されるようにした」とStepSecurityは説明している。

Aikidoは、Laravel Langのリポジトリ3件（laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses）において233件のバージョンが侵害されたと報告。一方Socketは、この3件にlaravel-lang/actionsを加えた4件のリポジトリにおいて、およそ700件超の歴代バージョンが侵害された可能性があると指摘している。

侵害されたバージョンによって展開されるのは、Linux、macOS、Windowsに対応したクロスプラットフォームのPHP認証情報スティーラー。クラウド認証情報やKubernetesのシークレット、Vaultトークン、Git認証情報、CI/CDシークレット、SSH鍵、ブラウザデータ、暗号資産ウォレット、パスワードマネージャー、VPN構成設定、ローカルの.env構成設定ファイルを収集するとされる。加えて、このスティーラーには、AWS鍵やGitHubトークン、Slackトークン、Stripeシークレット、データベース認証情報、JWT、SSH秘密鍵、暗号資産リカバリーフレーズをファイルや環境変数から抽出するために使われる正規表現パターンも含まれているという。

また、Windowsにおいてこのマルウェアが別のスティーラー「DebugElevator」を抽出・実行することも、BleepingComputerの分析により明らかになっている。Chrome、Brave、Edgeを標的にするスティーラーで、保存されたブラウザの認証情報を復号するために必要なアプリ固有の暗号化鍵を抽出する性能を備えるという。BleepingComputerは、このマルウェアに埋め込まれたPDBパスがWindowsのアカウント名「Mero」を指しており、「claude」という文字を含んでいることを踏まえ、「このWindowsマルウェアの開発を支援するためにAIが使われたことが示唆されている可能性」があると指摘している。

Aikidoは、インシデントをPackagistに報告。報告を受けたPackagistは速やかに悪意あるバージョンを削除し、影響を受けたパッケージを一時的に非表示にする対応を行ったとされる。

Laravel Langのパッケージを使用している開発者には、インストール済みパッケージのバージョンをレビューすること、漏洩した認証情報を更新すること、侵害の兆候がないかシステムを調べることなどが推奨されている。

Packagist狙うサプライチェーン攻撃、パッケージ8件をLinuxマルウェアに感染させる 

The Hacker News – May 23, 2026

Packagist上のパッケージ8件に影響を与える組織的なサプライチェーンキャンペーンを、Socketの研究者らが発見。これらのパッケージには、GitHub ReleasesのURLから取得されたLinuxバイナリを実行する悪意あるコードが含まれていたという。

Socketによれば、影響を受けるパッケージとバージョンは以下の8件。

• moritz-sauer-13/silverstripe-cms-theme（バージョン：dev-master）
• crosiersource/crosierlib-base（dev-master）
• devdojo/wave（dev-main）
• devdojo/genesis（dev-main）
• katanaui/katana（dev-main）
• elitedevsquad/sidecar-laravel（3.x-dev）
• r2luna/brain（dev-main）
• baskarcm/tzi-chat-ui（dev-main）

攻撃者は、これらのパッケージの上流のリポジトリを改変し、悪意あるpostinstallスクリプトを挿入。このスクリプトは、攻撃者の制御するGitHub ReleasesのURL（github[.]com/parikhpreyash4/systemd-network-helper-aa5c751f）からLinuxバイナリをダウンロードして「/tmp/.sshd」に保存し、実行可能な状態にしてバックグラウンドで実行する役割を持っていたとされる。

影響を受けたパッケージはいずれもComposerパッケージだったものの、悪意あるコードはcomposer.jsonではなくpackage.jsonに挿入されていたという。開発者やセキュリティチームがComposerのメタデータには注意を払いながらもpackage.jsonライフサイクルフックの方は見落としてしまう可能性があることから、この「クロスエコシステムの配置は注目に値する」とSocketは指摘した。

Socketはまた、このキャンペーンが、当初発見されたPackagistのパッケージ8件だけに留まらないより広範なものである可能性があることも発見。攻撃者が制御するアカウント「parikhpreyash4」についてGitHub上で検索をかけたところ、777件のファイルがヒットし、これにはNode.jsリポジトリも多数含まれていたという。しかし、これらの中で、実際に侵害されたリポジトリ、フォーク、重複したパッケージアーティファクト、あるいはキャッシュされた参照のどれに該当するものがいくつあるかは、現時点では不明とされる。

また、GitHubからダウンロードされるペイロードの正確な性質も今のところ不明。ただ、たとえ第2段階のバイナリが存在しないとしても、「悪意あるインストーラーというだけでブロックの根拠とするには十分だ」とSocketは指摘した。