Mini Shai-Hulud の概要と対応指針（2026年4月末 連続パッケージ侵害） - GMO Flatt Security Blog

2026年4月29日から30日にかけて、複数の主要パッケージが連続して侵害されました。npm 上では SAP CAP の @cap-js/sqlite / @cap-js/postgres / @cap-js/db-service および SAP の mbt、加えて intercom-client が、PyPI 上では PyTorch Lightning（lightning）が標的となりました。 これら一連の侵害は、攻撃者がデータ持ち出しに用いるリポジトリの description が A Mini Shai-Hulud has Appeared であることから、コミュニティで Mini Shai-Hulud と呼ばれています。 本記事は、各社の公開分析および手元での検証を踏まえ、日本のコミュニティ向けに事象と対応を整理するものです。 TL;DR - 対応指針 はじめに タイムライン 侵害

[YassLab]

“2026年4月29日から30日にかけて、複数の主要パッケージが連続して侵害 / npm 上では SAP CAP の @cap-js/sqlite / @cap-js/postgres / @cap-js/db-service および SAP の mbt、加えて intercom-client が、PyPI 上では PyTorch Lightning（lightning）が標的”

[tgk]

security

[queeuq]

pipの部分に誤記あり。pipは--uploaded-prior-to。ただし特定の日時しか指定できない・・・と思ってたんだが4/26(v26.1)から"P3D"(3日前)のような相対指定が出来るようになっていた。/"pip の --exclude-newer や"

[georgew]

PyPI 上では PyTorch Lightning（lightning）が標的となりました > あらら...

[tfurukaw]

PyPIもダメなのか…

[nguyen-oi]

サプライチェーン攻撃えぐいな。開発ツールやIDEのフックまで狙うワーム型とか、自衛の難易度上がりすぎてて震えるわ

[IGA-OS]

パッケージ侵害されると避けるの困難やな