Mini Shai‑Hulud：600以上の悪意あるnpmパッケージが数分で公開されたサプライチェーン攻撃

オープンソースのソフトウェア開発は「信頼」に大きく依存しています。信頼できるメンテナ、信頼できるCI/CDパイプライン、そして署名付きビルド。ところが2026年に発覚した Mini Shai‑Hulud 攻撃は、その信頼構造自体を武器に変えることが可能であることを示しました。

2026年5月、TeamPCP と呼ばれる脅威グループは npm と PyPI の人気パッケージを標的にした大規模なサプライチェーン攻撃を展開しました。特に 2026年5月19日 の攻撃では、侵害されたメンテナアカウントを利用し、約22分で323パッケージに637の悪意あるバージョン が公開されたと報告されています。

さらに衝撃的だったのは、これらのマルウェアが 正規のビルド証明（SLSA provenance）や署名を持っていた 点です。つまり、通常の検証プロセスでは「本物のリリース」に見えてしまう状態でした。

Mini Shai‑Huludキャンペーンの全体像

Mini Shai‑Huludは単一の事件ではなく、複数段階で拡大した攻撃キャンペーンです。

研究者によると、2026年5月10日から12日の間に 19のネームスペースにまたがる170以上のnpm・PyPIパッケージが侵害 され、400以上の悪意あるバージョン が公開されました。

影響を受けたパッケージには次のようなプロジェクト関連ライブラリが含まれていました。

• TanStack
• Mistral AI
• UiPath
• OpenSearch
• Guardrails AI

これらのライブラリは多くのアプリケーションの依存関係として使われており、累計ダウンロード数は5億回以上 に達していました。

その後の波では、データ可視化ライブラリエコシステム AntV を標的とした攻撃が発生。関連パッケージ群は 週約1600万ダウンロード を記録しており、影響範囲の広さが懸念されました。

なぜ数分で600以上のパッケージを公開できたのか

この攻撃のスピードは、開発者が日常的に使う 自動化された公開プロセス を悪用したことにあります。

報告によると、5月19日の攻撃では atool パッケージに関連するnpmメンテナアカウント が侵害されました。

メンテナ権限を得た攻撃者は、次のような操作を自動化スクリプトで一気に実行できました。

• 多数のパッケージへ同時に公開処理を実行
• バージョン番号を高速に更新
• CIパイプライン経由で並列リリース

この仕組みにより、手動で侵害を広げる必要はなく、数百のマルウェアパッケージが数分で登録 されました。

GitHub ActionsのOIDC認証を悪用

Mini Shai‑Huludで特に注目されたのは、近年「安全な公開方法」とされていた仕組みが悪用された点です。

多くのプロジェクトは現在、GitHub ActionsのTrusted Publishing を使っています。これは OpenID Connect（OIDC）トークン を用いて一時的な認証を行い、長期APIキーを保存せずにパッケージ公開を行う仕組みです。

しかし攻撃者は次のような方法でこの仕組みを利用しました。

• GitHub Actionsワークフローを乗っ取る
• CIランナーから OIDCトークン を取得
• そのトークンで正規の公開処理を実行

結果として、パッケージは プロジェクトの公式ビルドシステムから公開されたように見えました。

署名付きマルウェアが生まれた理由

近年のサプライチェーンセキュリティでは、以下の技術が広く使われています。

• SLSA（Supply‑chain Levels for Software Artifacts）
• Sigstore署名証明書

これらは「このソフトは信頼できるビルド環境から生成された」と証明する仕組みです。

ところがMini Shai‑Huludでは、攻撃者が 侵害したCI環境のOIDCトークンを使って署名証明書を取得 しました。その結果、悪意あるパッケージでも SLSA Build Level 3 の正当なプロビナンス付き で公開されてしまいました。

つまり問題は署名技術ではなく、署名を行うビルド環境自体が既に侵害されていたことでした。

マルウェアが狙った情報

公開された悪意あるパッケージには、開発環境の機密情報を収集するコードが含まれていました。

報告されている主なターゲットは次の通りです。

• CI/CDトークン
• クラウドプロバイダのAPIキー
• npmやGitHubのアクセストークン
• SSHキー
• その他の開発者秘密情報

これらの情報を盗むことで、攻撃者は 別のリポジトリやCI環境にも侵入可能 になり、攻撃を自己拡散させることができました。

この挙動から、Mini Shai‑Huludは サプライチェーン型の自己増殖ワーム とも呼ばれています。

なぜオープンソースにとって重大な脅威なのか

この攻撃は、現代のソフトウェア開発にいくつかの重要な教訓を突きつけました。

1. 信頼されたインフラも攻撃に利用される

OIDC認証、SLSA証明、署名付きビルドといった高度な仕組みでも、CIパイプラインが乗っ取られれば防げないことが示されました。

2. 1つのアカウント侵害で数百パッケージが影響

AntVのケースでは、単一アカウントの侵害で数百のパッケージが数分で汚染されました。

3. 依存関係による爆発的拡散

npmではライブラリが別のライブラリに依存するため、1つの更新が 数千のプロジェクトに連鎖的に影響する可能性があります。

4. 継続的な攻撃キャンペーンの可能性

研究者は、この攻撃が Checkmarx Jenkinsプラグイン侵害などを含む TeamPCPの長期的キャンペーンの一部 と指摘しています。

開発者への大きな教訓

Mini Shai‑Huludが示したのは、現代のソフトウェアサプライチェーンにおいて

「署名されている＝安全」とは限らない

という現実です。

そのため多くの組織では現在、次のような対策が重視されています。

• CIランナーの分離
• ワークフロー権限の最小化
• 不審な公開活動の監視
• 依存関係の継続的監査

ビルド自動化と署名検証が普及するほど、CIインフラと開発者のアイデンティティ保護は重要になります。

Mini Shai‑Huludは、その信頼がどれほど簡単に悪用され得るかを示した象徴的な事件となりました。