Bitwarden ソフトウェアサプライチェーン攻撃の概要と対応指針 - GMO Flatt Security Blog

2026年4月23日、オープンソースのパスワードマネージャ Bitwarden の CLI パッケージ @bitwarden/cli の npm 版が侵害されました。攻撃者はバージョン 2026.4.0 を公開し、preinstall フック経由で情報を窃取するマルウェアを実行させました。本記事は、手元での検証および公開情報を踏まえ、日本のコミュニティ向けに事象を整理するものです。 追記: 本侵害をCTO米内が解説するウェビナーを4月28日（火） 12:00から開催予定です。申し込みページより事前登録いただければ、どなたも無料で視聴が可能です。 TL;DR - 対応指針 悪性バージョンは 2026.4.0 のみです。2026.3.0（直前正規版）と 2026.4.1（復旧版、正規の Trusted Publishing 経由・provenance 付き）は安全です。 2026.4.0 がイ

[tyhe]

サプライチェーン攻撃を防ぐのキツイなあ。安全マージン取ってリリースから一定期間アップデートしないようにしないといけないけどゼロデイ攻撃には即応しないといけない矛盾。

[kaputte]

パスワードマネージャのサプライチェーンとかどうしようもねえ

[matchy2]

こういうツールはnpmでリリースしてはイカンのでは

[misshiki]

Bitwarden CLIのnpm版@bitwarden/cli@2026.4.0が侵害。preinstall等でbw_setup.js→bw1.jsが発火し、GitHub/npm/SSH/クラウド/AIツール設定などを窃取。2026.4.1へ更新と認証情報ローテーションを推奨。

[raitu]

“2026年4月23日、オープンソースのパスワードマネージャ Bitwarden の CLI パッケージ @bitwarden/cli の npm 版が侵害”

[oh_157]

bitwarden cliを使う発想が俺にはなかったのでセーフ

[tfurukaw]

パスワードマネージャーがこれとか一体どうすれば・・・最近のnpm怖すぎる

[hiroomi]

「開発者端末1台の侵害 → 組織全体のサプライチェーン侵害」

[boxmanx99]

またnpmが…

[kibitaki]

うわああああ。keepass残留俺セーフとかいうレベルの話じゃないな。Dependency Cooldown の設定により7-10日は待つみたいなことするしか。

[daira4000]

おっかないのう

[ultimatebreak]

一番あかんところや

[mkusaka]

Bitwarden CLI @bitwarden/cli 2026.4.0侵害を整理し、C2 audit[.]checkmarx.cx確認と即時ローテーション手順を提示

[nguyen-oi]

銀行がサプライチェーン攻撃される前にタンス預金に移行しないと