CyberSecurityAction

サプライチェーン/依存関係

Rust公式レジストリcrates.ioでサプライチェーン攻撃—arrayrefに悪意ある依存関係、DPRK関連か

Rustのパッケージレジストリcrates.ioで2026年8月20日、arrayrefを含む複数のクレートに悪意ある依存関係が追加されたバージョンが公開された。ビルド時にマルウェアが実行され資格情報が窃取される。問題バージョンは削除済みだが、使用した開発者は資格情報のリセット等の対応が求められる。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
Rust公式レジストリcrates.ioでサプライチェーン攻撃—arrayrefに悪意ある依存関係、DPRK関連か

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.0
EXPLOIT（悪用の容易さ）7.0

“ビルド時マルウェア実行・資格情報窃取・DPRKキャンペーンとの類似指標”

01 · Overview

ニュースの概要

Rustの公式パッケージレジストリcrates.ioにおいて、2026年8月20日ごろに人気クレート「arrayref」を含む複数のパッケージに悪意ある依存関係が追加された改ざん版バージョンが公開されたことが確認された（Rust Language公式ブログ発表）。影響を受けるバージョンのクレートをダウンロードしてビルドした場合、マルウェアがダウンロード・実行され、ビルド環境内のログイン情報が収集されることが報告されている。

Wizのセキュリティ研究チームは、本攻撃がDPRK（北朝鮮）に関連するサイバーキャンペーンと重複する技術的指標を持つと報告している。socket.devのブログでも複数の人気Rustクレートが侵害されたとして詳細を公開した。Rust Security Response Teamが迅速に対応し、問題のあるバージョンはすでにcrates.ioから削除されている。

今回の攻撃は開発者のビルド環境を狙ったサプライチェーン攻撃の典型例であり、信頼できるパッケージレジストリを経由することで開発者に気づかれにくい形で侵害が行われる。ビルド時に実行されるマルウェアはCI/CDパイプラインやローカル開発環境の認証情報を収集するため、開発者組織にとっては本番環境や企業インフラへの侵入の足がかりになり得る。

攻撃対象
Rustクレート arrayref等（crates.io）
攻撃検知日
2026年8月20日ごろ（削除済み）
CVE番号
未採番（crates.ioサプライチェーン攻撃）
悪用内容
ビルド時マルウェア実行・資格情報窃取
関連脅威
DPRKキャンペーンとの類似指標あり

Rust公式ブログおよびWiz・socket.devの報告に基づく。DPRKとの関連はWizの技術分析による指摘であり、公式な帰属認定ではない。CVEは未採番。

02 · Analysis

詳細な原因解説

本攻撃は「依存関係への悪意あるバージョンの注入」というサプライチェーン攻撃の典型手法を採用している。攻撃者はcrates.io上のarrayrefなど複数の正規クレートのアカウントを侵害するか、もしくは新バージョンとして悪意ある依存関係を追加したバージョンを公開した。Rustのビルドシステム（Cargo）はCargo.lockで依存関係の固定ができるが、新バージョンのクレートに切り替えると悪意あるコードが実行される仕組みを利用している。

悪意あるコードはビルドスクリプト（build.rs）や依存クレートを通じてビルド時に実行される。この手法の問題は、Rustエコシステムでビルドスクリプトがコンパイラと同等の権限でホストOS上で実行されることにある。ビルドスクリプトへのサンドボックスはデフォルトでは存在せず、ファイルシステムや環境変数への無制限アクセスが可能であるため、マルウェアがシステム上の認証情報ファイル（~/.aws/credentials、~/.config/gcloud等）を容易に読み取ることができる。

Wizの分析によると、本攻撃はDPRK関連キャンペーンと技術的指標（マルウェアのインフラ、TTP）に重複が見られる。DPRKは近年、オープンソースエコシステムへのサプライチェーン攻撃（npm、PyPI等）を通じた開発者組織への侵入を増加させており、今回はRustエコシステムへの攻撃として国際的に注目されている。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

RustエコシステムをDPRKが狙う理由

Q. なぜ攻撃者はPyPIやnpmではなくRustエコシステムを標的としたのか？

PythonやJavaScriptのパッケージエコシステムと比較して、Rustのcrates.ioはセキュリティツール・システムプログラミング・暗号ライブラリなど高い権限で実行される用途に広く利用されている。開発者は往々にして高権限の環境でRustをビルドしており、CI/CDシステムがクラウドへのフルアクセスを持つケースも多い。つまり同じサプライチェーン攻撃でも得られる認証情報の価値が高い。DPRKの観点では暗号資産関連のRustライブラリへのアクセスも狙いの一つと考えられる。

公式レジストリの信頼構造の脆弱性

Q. なぜ公式パッケージレジストリを経由したサプライチェーン攻撃が繰り返されるのか？

公式パッケージレジストリへの投稿は開発者コミュニティの善意に基づいており、公開されたパッケージが有害かどうかを事前に自動でスクリーニングする仕組みは不完全である。攻撃者はこの「信頼」を悪用し、既存の正規パッケージのアカウントを侵害（アカウントテイクオーバー）することで、ユーザーの信頼を踏み台にする。今回のように正規パッケージ自体を侵害するケースは特に検知が難しく、sigstore等のコード署名による信頼チェーンの確立が業界全体の課題となっている。

開発者・組織が取るべき依存関係セキュリティ対策

即時対応の最優先事項は、影響バージョンをビルドした可能性のある環境の認証情報の全数リセットである。CI/CDサーバーが侵害されていた場合、本番環境のクラウド認証情報まで漏洩している可能性があり、特に緊急度は高い。

中長期的には、cargo-auditのCI統合・Cargo.lockの固定管理・ビルド環境の最小権限設計を組み合わせた多層防御を構築する。Rustエコシステム全体でもクレート所有者の多要素認証必須化やsigstoreを用いたコード署名の普及が進みつつあり、自組織のポリシーとしても追従することが推奨される。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のプラットフォームエンジニアです。Rustを使用している開発チームが今回のcrates.ioサプライチェーン攻撃（arrayref等）の影響を受けた可能性があります。次の3点について確認・対応手順を作成してください。1）Cargo.lockファイルを用いた影響バージョン使用有無の確認方法、2）[クラウド環境]上のCI/CDサーバーで使用された可能性のある認証情報のローテーション手順、3）今後の依存関係セキュリティポリシーの設計（cargo-auditの導入方法を含む）。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種

利用中のクラウドプラットフォーム

キーワード

  • Rustサプライチェーン攻撃
  • crates.io
  • arrayref
  • DPRK
  • ビルドパイプライン侵害

SOURCES · 参考情報源