2026年6月11日、Arch Linux の有志リポジトリである AUR（Arch User Repository）で大規模なサプライチェーン攻撃「Atomic Arch」が確認されました。
攻撃者は脆弱性を突いたのではなく、管理が放棄されたパッケージの所有権を正規の手続きで引き継ぎ、さらに正規メンテナー「arojas」の身元をコミット偽造でなりすまして、ビルド手順書である PKGBUILD を改竄しました。コミュニティが気づいた時点で408パッケージ、その後の集計では約1500パッケージにまで影響が拡大しています。命名元である Sonatype は本件を Sonatype-2026-003775（CVSS 8.7）として追跡しています。
改竄された PKGBUILD は npm パッケージ atomic-lockfile（バージョン1.4.2）と js-digest を取得し、preinstall フックを通じて Rust 製の ELF64 バイナリ「deps」（約3MB）を自動実行しました。両パッケージは herbsobering というアカウントが公開したものです。deps は SSH 鍵、GitHub トークン、npm 認証情報、Docker、HashiCorp Vault、Slack、Discord、Microsoft Teams などの認証情報を窃取し、CAP_BPF を伴う特権下では eBPF ルートキットを起動して自身のプロセスやソケットをカーネルレベルで隠蔽します。指令サーバー（C2）には、追跡を逃れるため Tor の onion サービスが用いられていました。なお、執筆時点で正式な脆弱性識別番号である CVE は付与されていません。
【編集部解説】
「コンピューターを乗っ取るには、まず信頼を勝ち取らねばならない」――サイバー攻撃の世界では、長らくそれが常識でした。偽サイトを本物そっくりに作り込み、紛らわしい名前のパッケージを並べ、人をだまして「クリック」させる。攻撃者はいつも、信頼をゼロから「演出」する必要があったのです。
しかし今回の「Atomic Arch」が突きつけたのは、その前提が崩れつつあるという事実です。攻撃者は信頼を演出していません。すでに信頼を勝ち得たプロジェクトの「所有権」だけを、静かに引き継いだのです。命名元である Sonatype は、これを「攻撃者はもはや信頼を作り出す必要がなく、ときにそれを継承できるのだ」と表現しました。この一文に、今回の事案の本質が凝縮されています。
仕組みは拍子抜けするほど単純です。Arch Linux の有志リポジトリである AUR には、メンテナーが管理を放棄したパッケージを誰でも引き取れる「養子縁組」の制度があります。脆弱性（ゼロデイ）を突いたわけでも、Arch の公式サーバーが破られたわけでもありません。攻撃者は正規の手続きで放置パッケージの管理権を取得し、ビルド手順書である PKGBUILD を書き換えただけ。利用者から見れば、いつも使っている見慣れたパッケージを、信頼できる場所から更新しているだけに見えます。
ここで、元記事を含む初期報道に一点、重要な訂正を加えておきます。当初は「arojas という人物が攻撃を実行した」と報じられました。しかしその後の調査で、arojas は実在する正規の Arch／KDE メンテナーであり、攻撃者が git のコミット履歴を偽造してその身元になりすましていたことが分かっています。複数の調査でも、攻撃者はコミットのメタデータを偽造して既知の AUR メンテナー「arojas」になりすまし、改竄したコミットに正当性の見せかけを与えた、と指摘されています。つまり攻撃者は、パッケージの所有権だけでなく、信頼された開発者の「名前」までも借用していたわけです。これは本事案の「信頼の継承」という性質を、いっそう際立たせる事実だと言えるでしょう。
被害規模をめぐる「数字の揺れ」にも注目したいところです。媒体によって「20以上」「408」「約1500」と数字が大きく振れていますが、これは誤報ではなく、調査が現在進行形であることの裏返しです。一次情報である Sonatype 自身は、当初「数十個」と見ていた評価を急速に修正し、発見から24時間以内に js-digest や lockfile-js といった関連パッケージを追加で確認し、影響が約1500パッケージに及ぶ可能性があるとしています。コミュニティの集計でも、AUR の git ミラーを検索して作られたマスターリストではおよそ408個、統合リストではさらに高い数字に上っている状況です。innovaTopia としては、確定値のように一つの数字を断定するのではなく、「波状的に拡大し、なお精査が続いている」という状態そのものをお伝えすべきだと考えます。
技術的に最も重い意味を持つのが、ペイロードに組み込まれた「eBPF ルートキット」です。eBPF はもともと、プログラムを Linux カーネルの内部で安全に動かすための正規技術で、近年の高速なネットワーク監視やセキュリティ製品を支える、いわば「善玉」の最新インフラでした。その同じ仕組みが、ここでは攻撃者の隠れ蓑に転用されています。カーネルの内側から ps や netstat といった調査コマンドの出力を書き換え、自分の存在を消し去る。動いているのに、見えない。これは「便利な新技術ほど、攻撃の道具としても強力になる」という、技術史が繰り返してきた皮肉の最新版だと言えるでしょう。
さらに見逃せないのが、これが孤立した事件ではないという点です。Rust 製バイナリ、eBPF ルートキット、Tor 経由の C2 という組み合わせは、6月初旬に JFrog が報告した「IronWorm」、さらにその源流とされる「Shai-Hulud」「Miasma」といった一連の攻撃と、設計思想が酷似しています。CyberSec Guru の元記事は両者の関連を、Sonatype は preinstall スクリプトで埋め込みバイナリを実行する手口が IronWorm の atomic-notes パッケージと類似していると指摘したが両者が関連しているとは確認していない、と慎重に留保しています。一方、脅威情報を専門に扱う一部の調査機関は「同一の攻撃者または同一のツールキット」と高い確度で評価しています。innovaTopia としては、ここは断定を避けつつ、「同じ設計思想の攻撃が、npm から AUR へと標的を変えながら連続している」という構造の方を重く見ます。
この事案が照らし出すのは、私たちが日々依存しているソフトウェア供給網（サプライチェーン）の、ボランティアに支えられた善意の構造そのものです。オープンソースの「誰でも貢献できる開放性」は、人類の知を加速させてきた最大の美点であり、同時に、所有権の移転という最も人間的な営みが、そのまま侵入口になりうるという弱点でもあります。
長期的には、規制と運用の両面で変化が促されるはずです。コミュニティはすでに、所有者が最近変わったパッケージへの警告表示、アカウント管理の厳格化、メンテナー履歴の可視化といった対策を求めています。各国で議論が進む SBOM（ソフトウェア部品表）の義務化のような制度的枠組みも、こうした「信頼の継承」型攻撃を念頭に置いて再設計されていくでしょう。
そして、開発者一人ひとりの心構えも問われています。これまで「見知らぬパッケージ」にだけ向けていた警戒を、これからは「先週オーナーが変わった、いつものパッケージ」にも向けなければならない。未来を作る道具を扱う者にとって、その道具がどこから来て、いま誰の手にあるのかを問い続けること――それ自体が、新しい時代のリテラシーになろうとしています。
【用語解説】
AUR（Arch User Repository）
Arch Linux の利用者が有志で運営する、非公式のパッケージ配布の仕組みである。完成品のソフトではなく、ソフトを組み立てる手順書「PKGBUILD」を共有する場で、利用者は手元でビルドして導入する。公式リポジトリとは別物であり、内容の審査は行われない。
PKGBUILD
AUR で配布される、パッケージのビルド手順を記した Bash スクリプトである。どこからソースを取得し、どう組み立て、何を導入後に実行するかが書かれており、ここが書き換えられると意図しない処理が走る。今回の攻撃の改竄対象がこれだ。
孤児パッケージ（orphan package）の養子縁組
メンテナーが管理を放棄したパッケージは「未保守（孤児）」と記され、別の利用者が正規の手続きで管理権を引き取れる。本来は有用なソフトを救済するための善意の制度だが、今回はこの所有権移転が侵入口に転用された。
コミット偽造（なりすまし）
git の履歴に記録される作成者情報は自己申告であり、別人の名前で記録を残せてしまう。今回の攻撃者はこれを悪用し、正規メンテナー arojas の身元を装って改竄を正当に見せかけた。
yay / paru / makepkg
AUR からパッケージを導入・更新するための補助ツール（AUR ヘルパー）である。makepkg は Arch 標準のビルドツールで、yay と paru はそれを使いやすくした第三者製ツール。これらが PKGBUILD を実行することで感染チェーンが始動する。
preinstall フック（npm のライフサイクルスクリプト）
npm がパッケージを導入する過程で自動実行する処理の一つである。導入の「前」に走る preinstall を悪用すると、利用者が何も操作しなくてもプログラムが実行される。–ignore-scripts を付けない限り既定で動く点が悪用された。
ELF バイナリ
Linux における実行ファイルの標準形式である。今回の本体「deps」は Rust 言語で書かれ、解析を妨げるためシンボル情報を削除（ストリップ）した約3MBの ELF64 ファイルとして配送された。
ルートキット（rootkit）
侵入者が自らの存在を OS から隠し、居座り続けるための技術の総称である。プロセスや通信を一覧から消し、調査ツールの目を欺く。今回はそれをカーネル内部の eBPF で実現した点が新しい。
C2（コマンド＆コントロール）
感染した端末を遠隔操作し、盗んだデータを回収するための指令サーバーを指す。今回は追跡を逃れるため、匿名通信網 Tor 上の「.onion」アドレスが暗号化して埋め込まれていた。
CAP_BPF
Linux で eBPF プログラムを読み込むのに必要な特権（ケイパビリティ）である。通常は管理者（root）にしか与えられない。攻撃チェーンは、この権限が得られている瞬間を狙って実行されるよう設計されていた。
サプライチェーン攻撃
ソフトの利用者を直接狙うのではなく、その供給網（部品・配布経路・開発環境）の上流に毒を仕込み、下流の多数へ一挙に被害を広げる攻撃手法である。信頼の連鎖そのものを突く点が特徴だ。
CVSS / CVE
CVSS は脆弱性の深刻度を0〜10で示す国際的な指標で、今回は8.7（高位）と評価された。CVE は脆弱性に付される共通の識別番号だが、本事案には執筆時点で CVE は割り当てられていない。
Monero（モネロ）
取引の追跡が困難な匿名性の高い暗号資産である。今回のバイナリには Monero ウォレットへの参照があり、第二段階としてマイニング（採掘）を仕込む計画があったと推測されている。
【参考リンク】
Arch User Repository（AUR）公式（外部）
今回の攻撃の舞台となった、Arch Linux 有志運営のパッケージ配布サイト。PKGBUILD の検索・投稿が行える。
Arch Linux 公式サイト（外部）
AUR の母体となるディストリビューションの公式サイト。なお今回、公式リポジトリ自体は侵害されていない。
Sonatype Blog（一次情報・命名元）（外部）
本キャンペーンを「Atomic Arch」と命名し最初に報告した供給網セキュリティ企業の解説記事。
eBPF 公式コミュニティサイト（外部）
今回悪用された技術 eBPF の入門・解説を提供する公式サイト。本来は正規技術である点が分かる。
JFrog Security Research（IronWorm 一次情報）（外部）
編集部解説で触れた類似攻撃 IronWorm を最初に分析した調査記事。共通の設計思想を詳述する。
npm（公式レジストリ）（外部）
不正パッケージ atomic-lockfile と js-digest が公開された、JavaScript パッケージの公式配布基盤。
【参考動画】
eBPF 公式コミュニティ（ebpf.io）が公開した公式ドキュメンタリー。Meta、Google、Netflix、Red Hat などの開発当事者が登場し、2014年の誕生から現在に至る経緯を語る。今回悪用された技術が本来いかに革新的な正規インフラであるかを理解できる。
【参考記事】
Atomic Arch: Attackers Hijack Trusted AUR Packages to Deliver Rootkit-Like Malware（Sonatype）（外部）
命名元かつ一次情報。Sonatype-2026-003775（CVSS 8.7）として追跡し、約1500パッケージに及ぶ可能性へ評価を修正した経緯を示す。
AUR Supply Chain Attack: 400+ Arch Packages Backdoored（Latest Hacking News）（外部）
第一波408、第二波で1500超、CVE 未付与など主要数値を整理。arojas へのなりすましも明記する。
AUR Malware Hits 408 Packages with eBPF Rootkit—Act Now（byteiota）（外部）
第一波408という数字の出所となった集計元。窃取対象や具体的な標的パッケージ例を詳述している。
aur-malware-check（GitHub・コミュニティ検知プロジェクト）（外部）
攻撃アカウント群と、arojas が正規メンテナーでありなりすましであった訂正情報を明記する。
Over 400 Arch Linux AUR Packages Hijacked to Deploy Infostealer and eBPF Rootkit（The Hacker News）（外部）
数字が媒体ごとに異なる背景と、実被害が AUR 経路中心であった点を補足している。
IronWorm: Shai-Hulud’s rustier cousin（JFrog Security Research）（外部）
Rust・eBPF ルートキット・Tor C2 という IronWorm の構成を詳述。本事案の技術的系譜を示す。
IronWorm (No CVE): Rust-Built npm Worm Ships an eBPF Rootkit, Tor C2（Phoenix Security）（外部）
活動中は CVE が付与されない構造的問題を数値で指摘し、潮流の一部として位置づける。
【関連記事】
Red Hat の npm パッケージにサプライチェーン攻撃。新種マルウェア「Miasma」とは（内部）
Rust・eBPF・Tor を用いる同系譜の攻撃を npm 側で扱った直近記事。本件はその続編にあたる。
npmとArch Linux AURで大規模供給連鎖攻撃、フィッシング手法で週3000万DL影響（内部）
AUR が標的となった先行事例（Chaos RAT）。今回の孤児パッケージ悪用と対比できる。
OpenAI、TanStack npmサプライチェーン攻撃で社員端末2台が侵害（内部）
同系統の Mini Shai-Hulud 事案。開発者の認証情報を狙う連鎖攻撃の一例である。
【編集部後記】
今回のいちばん怖いところは、「いつも使っている、信頼していたもの」が静かに別人の手に渡り、しかも信頼できる人の名前まで借りられていた、という点かもしれません。これはソフトウェアに限った話ではなく、私たちが日々何気なく信頼を預けているあらゆる仕組みに通じる問いだと感じます。
みなさんは、自分が「信頼している」ものの来歴を、どこまで気にかけているでしょうか。便利さと安心は、どこで折り合いをつけるのが心地よいのか。よろしければ、ご自身の環境を振り返るきっかけにしていただけたら嬉しいです。私たちも一緒に考え続けます。
