Bitwarden ソフトウェアサプライチェーン攻撃の概要と対応指針

#Security

npmパッケージ@bitwarden/cli@2026.4.0がマルウェア混入により侵害されたサプライチェーン攻撃事例

• 多段ペイロード構成
  • Stage1: bw_setup.jsがBunランタイムをDL
  • Stage2: 難読化された9.7MBのbw1.jsが認証情報を窃取
  • Stage3-4: audit[.]checkmarx.cxへ暗号化送信、GitHubへフォールバック
• 発火点: npm install時のpreinstallフック、およびbwコマンド実行時
• 窃取対象: SSH鍵 / GitHub PAT / npmトークン / クラウド資格情報 / ~/.claude.json等のAI設定 / .env
• 対策: 2026.4.1へ更新、資格情報ローテーション、npm ci --ignore-scripts、min-release-ageの設定