SDLC全体を支える高度なセキュリティインテリジェンス

NISTがリスクベースのエンリッチメントへ移行したことで、明らかになったことがあります。現代のセキュリティチームには、単一の公開ソースだけでは不十分です。AI時代に信頼できる脆弱性インテリジェンスを実現するには、複数のシグナル、人による検証、明確なコンテキストが欠かせません。

keyv 6.0.0と関連するnpmリリース10件に、インストール時に実行されるマルウェアが含まれていました。影響を受けるバージョン、ハッシュ、検出手順、安全な修復の順序を解説します。

新たなnpmワームがbinding.gypを悪用し、インストール時にnode-gypを起動。ライフサイクルスクリプトを使わずに悪意あるパッケージからコードを実行します。認証情報を窃取し、GitHub上に潜伏し、メンテナー間で自己増殖します。