Checkmarx supply chain attack impacts Bitwarden npm distribution path

【要点】

◎Bitwarden CLIのnpm配布経路がCheckmarx系サプライチェーン攻撃に巻き込まれ、悪意あるパッケージを短時間配布した。影響は限定的だが、該当時間帯に導入した環境は即時確認が必要だ (Security Affairs)

【訳】

Checkmarxのサプライチェーン攻撃がBitwardenのnpm配布経路に影響

【要約】

Bitwardenは、Checkmarx関連のサプライチェーン攻撃の一環として、npm上の「@bitwarden/cli@2026.4.0」が一時的に悪意あるコードを含んだ状態で配布されたと認めた。攻撃ではpreinstallフックを通じてGitHubやnpmトークン、SSHキー、.env情報、クラウド認証情報などの窃取や、盗んだ認証情報を用いた自己拡散が試みられた。ただし、BitwardenはVaultデータや本番システムの侵害証拠は確認していないとしている。影響を受けるのは2026年4月22日午後5時57分〜7時30分（米東部時間）にnpmから当該版を取得した利用者で、認証情報のローテーションやCI/CD確認が推奨される。

【ニュース】

◆Checkmarx supply chain attack impacts Bitwarden npm distribution path (Security Affairs, 2026/04/24)
[Checkmarxのサプライチェーン攻撃がBitwardenのnpm配布経路に影響]

Bitwarden CLI was hit by the Checkmarx supply chain attack. Version 2026.4.0 shipped malicious code in bw1.js via a compromised GitHub Action.
[Bitwarden CLIがCheckmarxのサプライチェーン攻撃の被害を受けました。バージョン2026.4.0では、侵害されたGitHub Actionを介してbw1.jsに悪意のあるコードが組み込まれていました]

https://securityaffairs.com/191215/malware/checkmarx-supply-chain-attack-impacts-bitwarden-npm-distribution-path.html

【関連まとめ記事】

◆全体まとめ
　◆攻撃手法 (まとめ)

◆サプライチェーン攻撃 (まとめ)
https://malware-log.hatenablog.com/entry/Supply_Chain_Attack

　◆アプリ (まとめ)

◆npm (まとめ)
https://malware-log.hatenablog.com/entry/npm