GitHubのサポート仕様変更や偽VS Code拡張、npmパッケージ悪用など開発環境を狙う複数の脅威が判明

要点

• GitHubは2026年8月18日より、古いGHESアプライアンスからのサポートバンドルアップロード制限を実施する。

• 開発者向けのnpmパッケージに、macOSから暗号資産ウォレットや認証情報を盗み出すマルウェアが混入していたことが判明した。

• VS Codeの人気拡張機能に偽装した不正な拡張機能が公開され、バックドアとして機能する恐れがあるため削除された。

• PyPIは、公開から14日以上経過した過去のリリースに対する新規ファイルのアップロードを制限する変更を導入した。

• ポルトガルのユーザーを狙い、フィッシングメールで銀行マルウェア「Lampion」を送り込むキャンペーンが確認された。

• ITセキュリティニュースサイトの「The Hacker News」は2026年7月23日、開発環境やITインフラを標的とした新たなセキュリティ脅威と、各種プラットフォームでの対策強化策を報じた。これらの脅威は無害なサービスやツールを装っており、検出や防御が困難な特徴を持つ。具体的には、悪意あるnpmパッケージや偽のVS Code拡張機能のほか、安全アプリを装うスパイウェアや、画像を用いてAIエージェントに不正な指示を与える攻撃手法などが報告されている。

GitHub Enterprise Serverにおけるサポート送信仕様の変更

GitHubは、企業向けソースコード管理プラットフォーム「GitHub Enterprise Server（GHES）」のセキュリティ仕様を変更する。
2026年8月18日以降、必要なセキュリティパッチが適用されていない古いGHESアプライアンスからの、コマンドラインによるサポートバンドルのアップロードが拒否されるようになる。これにより、パッチ未適用の環境でghe-support-bundleなどのコマンドを使用してサポートを送信しようとした場合、処理が遮断される。GitHubは、業務の中断を避けるためにインスタンスを最新のパッチリリースへ更新するよう求めている。必要な最小パッチバージョンは、3.21.3や3.20.5など、各バージョンラインの特定バージョンである。

npmパッケージ悪用によるmacOS向け情報窃取マルウェア

セキュリティ企業SafeDepの調査により、JavaScriptのライブラリ管理システムであるnpmのパッケージ「@copilot-mcp/apex」に、悪意あるプログラムが混入していることが明らかになった。同様のプログラムは「@apexfdn/apex」からも配信されていたという。
このパッケージをインストールすると、開発者のマシンにmacOS（Apple社のパソコン用OS）向けの情報窃取マルウェアがダウンロードされる。その後、標準機能のosascriptを介してAppleScriptのペイロードが実行される。このペイロードは、偽 of システムプロンプトを表示してログインパスワードを盗み取るフィッシングを行う。さらに、ブラウザの認証情報や20種類以上の暗号資産ウォレット、SSHキー、クラウドサービス「AWS」の資格情報、Kubernetesの認証情報、Telegramのデータ、シェル履歴などを窃取する。盗まれたデータは/tmp/osalogging.zipに圧縮され、攻撃者のサーバーへHTTPS通信で送信される。また、自動起動設定であるLaunchAgentを登録し、60秒ごとに指令サーバーと通信して感染状態を維持する。

人気拡張機能に偽装したVS Codeのバックドア

コードエディタ「Visual Studio Code（VS Code）」の公式拡張機能配布サイトで、1400万ダウンロードを超える人気拡張「Markdown All in One」に偽装した「Markdown All Pro」（識別子：markdown.markdown-all-pro）という不正な拡張機能が発見された。
セキュリティ企業Manifold Securityの報告によると、この拡張機能はインストールされると、ユーザー名やホスト名を暗号化されていないHTTP通信で攻撃者へ送信する。さらにリモートサーバーからファイルをダウンロードする。これにより、攻撃者は拡張機能を更新することなく、後から任意の追加コマンドを実行できるバックドアを確保する。この拡張機能はMicrosoftによって削除されたが、その後「MarkdownLinks.markdown-links-pro」という類似名で再登録され、これも同様に削除された。

PyPI、過去のリリースに対するファイル追加を制限

Pythonのパッケージ管理システムである「PyPI」は、公開から14日以上経過した古いリリースに対する新規ファイルの追加アップロードを拒否する新しいセキュリティポリシーを導入した。
この制限は、開発者のアカウントや自動化ワークフローが乗っ取られた場合に、長期間安定して稼働している過去のバージョンが改ざんされるのを防ぐために実施された。PyPIは、これまでにこの制限を突いた悪用例は確認されていないものの、攻撃者が実行可能であると認識していなかっただけであると説明している。

ポルトガルを標的とするフィッシングと銀行マルウェア

セキュリティ企業Acronisは、行政や金融機関からの通知を装ったフィッシングメールを通じて、ポルトガルのユーザーを狙う新しいマルウェア感染キャンペーンを報告した。
このキャンペーンでは、銀行情報の窃取を目的とした不正プログラム「Lampion」を感染させる多段階のマルウェアが用いられている。Lampionは2019年12月に初めて確認されたブラジル由来のマルウェアで、ポルトガルやポルトガル語圏のユーザーを標的にしている。