B
今週中
GitHubの内部リポジトリ約4,000個が、Nx ConsoleのVS Code拡張機能を通じたサプライチェーン攻撃により流出し、TeamPCPによって販売さ…
📌 一言でいうと
GitHubの内部リポジトリ約4,000個が、Nx ConsoleのVS Code拡張機能を通じたサプライチェーン攻撃により流出し、TeamPCPによって販売されていることが判明しました。また、DrupalのSQLインジェクション脆弱性（CVE-2026-9082）が実際に悪用されていることがCISAにより警告されています。さらに、LiteSpeedのcPanelプラグインにroot権限を奪取される深刻な脆弱性（CVE-2026-48172）が発見され、既に攻撃に利用されています。
🔍該当判定
- VS Codeで『Nx Console』という拡張機能（プラグイン）をインストールして利用している
- Webサイトの管理システムに『Drupal』を利用している
- サーバー管理に『cPanel』を利用しており、かつ『LiteSpeed』プラグインを導入している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. VS Code拡張機能の導入時に信頼性を確認し、不審な挙動がある場合は即座に削除すること。 2. DrupalおよびLiteSpeed cPanelプラグインを最新バージョンにアップデートすること。 3. 開発環境における認証トークンや秘密鍵の管理を徹底し、定期的にローテーションすること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHubサプライチェーン攻撃およびDrupal/LiteSpeed脆弱性対応について
お疲れさまです。複数の深刻な脆弱性および攻撃事例に関する情報共有です。
■ 概要
1. GitHub内部リポジトリ流出: Nx Console (v18.95.0) のサプライチェーン攻撃により、GitHubの内部コードが流出。TanStackへの攻撃が起点となっています。
2. Drupal SQL注入 (CVE-2026-9082): CISAがKEVに追加。既に実環境での悪用が確認されています。
3. LiteSpeed cPanelプラグイン (CVE-2026-48172): CVSS 10.0の権限昇格脆弱性。root権限での任意コード実行が可能です。
■ 影響範囲
- VS Code Nx Console 拡張機能利用者
- Drupal CMS 運用サーバー
- LiteSpeed cPanelプラグイン (v2.3 ～ 2.4.4)
■ 対応手順
1. Nx Console等の開発ツールを最新版に更新し、不審な拡張機能がないか監査してください。
2. Drupalを最新バージョンへアップデートしてください。
3. LiteSpeed cPanelプラグインを v2.4.5 以降にアップデートしてください。
■ 参考情報
- CISA KEV Catalog
- LiteSpeed Official Advisory
対応優先度: 高
対応期限: 至急
お疲れさまです。複数の深刻な脆弱性および攻撃事例に関する情報共有です。
■ 概要
1. GitHub内部リポジトリ流出: Nx Console (v18.95.0) のサプライチェーン攻撃により、GitHubの内部コードが流出。TanStackへの攻撃が起点となっています。
2. Drupal SQL注入 (CVE-2026-9082): CISAがKEVに追加。既に実環境での悪用が確認されています。
3. LiteSpeed cPanelプラグイン (CVE-2026-48172): CVSS 10.0の権限昇格脆弱性。root権限での任意コード実行が可能です。
■ 影響範囲
- VS Code Nx Console 拡張機能利用者
- Drupal CMS 運用サーバー
- LiteSpeed cPanelプラグイン (v2.3 ～ 2.4.4)
■ 対応手順
1. Nx Console等の開発ツールを最新版に更新し、不審な拡張機能がないか監査してください。
2. Drupalを最新バージョンへアップデートしてください。
3. LiteSpeed cPanelプラグインを v2.4.5 以降にアップデートしてください。
■ 参考情報
- CISA KEV Catalog
- LiteSpeed Official Advisory
対応優先度: 高
対応期限: 至急
Subject: [Security Alert] GitHub Supply Chain Attack and Drupal/LiteSpeed Vulnerabilities
Dear Team,
This is a technical briefing regarding several critical security incidents.
■ Overview
1. GitHub Internal Leak: A supply chain attack targeting the Nx Console VS Code extension (v18.95.0) led to the leak of ~4,000 internal repositories. The root cause traces back to an attack on TanStack.
2. Drupal SQL Injection (CVE-2026-9082): CISA has added this to the KEV list, confirming active exploitation in the wild.
3. LiteSpeed cPanel Plugin (CVE-2026-48172): A critical privilege escalation vulnerability (CVSS 10.0) allowing root execution.
■ Scope
- Users of Nx Console VS Code extension
- Drupal CMS installations
- LiteSpeed cPanel plugin versions 2.3 to 2.4.4
■ Mitigation Steps
1. Audit and update all development extensions (specifically Nx Console) to the latest secure versions.
2. Apply the latest security patches to Drupal installations immediately.
3. Update LiteSpeed cPanel plugin to version 2.4.5 or higher.
■ Reference
- CISA KEV Catalog
- LiteSpeed Official Advisory
Priority: High
Deadline: Immediate
Dear Team,
This is a technical briefing regarding several critical security incidents.
■ Overview
1. GitHub Internal Leak: A supply chain attack targeting the Nx Console VS Code extension (v18.95.0) led to the leak of ~4,000 internal repositories. The root cause traces back to an attack on TanStack.
2. Drupal SQL Injection (CVE-2026-9082): CISA has added this to the KEV list, confirming active exploitation in the wild.
3. LiteSpeed cPanel Plugin (CVE-2026-48172): A critical privilege escalation vulnerability (CVSS 10.0) allowing root execution.
■ Scope
- Users of Nx Console VS Code extension
- Drupal CMS installations
- LiteSpeed cPanel plugin versions 2.3 to 2.4.4
■ Mitigation Steps
1. Audit and update all development extensions (specifically Nx Console) to the latest secure versions.
2. Apply the latest security patches to Drupal installations immediately.
3. Update LiteSpeed cPanel plugin to version 2.4.5 or higher.
■ Reference
- CISA KEV Catalog
- LiteSpeed Official Advisory
Priority: High
Deadline: Immediate