Axiosパッケージの侵害と対応措置
本文の状態
日本語全文を表示中
詳細モードで約2分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
Vercel Blog
Vercelが、2026年3月31日に発見されたサプライチェーン攻撃でaxios npmパッケージが侵害されたと報告した。Vercelは対策を実施し、プラットフォームを保護した。npmレジストリは侵害バージョンを削除し、安全なaxios@1.14.0を最新版に設定した。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Axiosパッケージの侵害と対応手順
axios npmパッケージは、2026年3月31日に発見された能動的なサプライチェーン攻撃により侵害されました。Vercelはこの問題を調査し、プラットフォームを保護するための是正措置を実施しました。Vercelのシステム自体に影響はありません。
npmレジストリは侵害されたパッケージのバージョンを削除し、最新タグは現在、安全なバージョンであるaxios@1.14.0を指すように変更されています。
当社は、ビルドインフラストラクチャからC&C（Command & Control）ホスト名「sfrclak.com」への送信アクセスを遮断しました。
この悪意のあるパッケージバージョンはブロックされ、npmレジストリから公開削除（unpublish）されています。
Vercel自社のインフラストラクチャおよびアプリケーションは影響を受けておりません。ご自身のサプライチェーンに影響がないか確認されることを推奨します。
影響を受けるバージョン
ビルド環境でaxios@1.14.1またはaxios@0.30.4を使用しているプロジェクトは、この脆弱性の影響を受けます。
以下の依存関係およびロックファイルを確認してください：
axios@1.14.1
axios@0.30.4
plain-crypto-js@4.2.1
解決策
デプロイメントのビルド環境で上記の悪意のあるパッケージバージョンを使用していた場合は、以下の対応を実施してください：
- ロックファイルとnode_modules内で「plain-crypto-js」を検索し、侵害されたインストールを特定する
- プロジェクトを再デプロイし、ビルドが安全なバージョンのaxiosを使用することを保証する
- APIキー、データベース認証情報、トークン、ビルド環境内のその他の機密値について、ローテーション（再発行・更新）を行う
- 依存関係ツリー内のaxios@1.14.1またはaxios@0.30.4への参照を確認し、axios@1.14.0に更新する
詳細を読む
原文を表示
The axios npm package was compromised in an active supply chain attack discovered on March 31, 2026. Vercel investigated this issue and implemented remediation actions to protect the platform. No Vercel systems were affected.
The npm registry removed the compromised package versions, and the latest tag now points to the safe axios@1.14.0 release.
We’ve blocked outgoing access from our build infrastructure to the Command & Control hostname sfrclak.com.
The malicious version of the package has been blocked and unpublished from npm.
Vercel’s own infrastructure and applications have been unaffected. We recommend checking your supply chain for exposure.
Affected versions
Projects using axios@1.14.1 or axios@0.30.4 in their build environments are affected by this vulnerability.
Check your dependencies and lockfiles for:
axios@1.14.1
axios@0.30.4
plain-crypto-js@4.2.1
Resolution
If your deployments used the malicious package version listed above in your build environment, take the following actions:
Search your lockfiles and node_modules for plain-crypto-js to identify compromised installations
Redeploy your project to ensure your build uses a clean version of axios
Rotate API keys, database credentials, tokens, and any other sensitive values present in your build environment
Review your dependency tree for references to axios@1.14.1 or axios@0.30.4 and update them to axios@1.14.0
Read more
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み