@tanstack/* npm パッケージへの悪意あるバージョン混入（OIDC 悪用のサプライチェーン侵害）

Critical（CVSS 9.6）に分類されるTanStack @tanstack/* (npm パッケージ群)の脆弱性です。2026-05-11 の約19:20〜19:26 UTC に、42個の @tanstack/* パッケージにわたり84の悪意あるバージョンが npm レジストリへ公開された。公開は正規の GitHub Actions OIDC トークンを用いて認証されており、信頼された発行元を装って資格情報窃取マルウェアが配布された。当該時間帯に該当バージョンを取得した環境が影響を受ける。 **2026年8月3日の再確認**: CISA KEV カタログ（2026.07.29 版・全1,656件）で本件の収載が継続していることを確認した。是正期限は2026年6月10日で既に経過している。要求アクションは「ベンダーの指示に従って緩和策を適用する／BOD 22-01 のクラウドサービス向けガイダンスに従う／緩和策が無い場合は利用を中止する」のままで変更はない。ランサムウェア利用は引き続き Known（利用が確認されている）である。期限を過ぎている以上、**まだ棚卸しをしていない環境がある場合は、更新ではなく侵害調査から入る**のが正しい順序になる。2026年5月11日 19:20〜19:26 UTC に該当バージョンを取得した可能性のある CI ジョブとローカル環境を洗い出し、その時間帯に走ったビルドのロックファイルと npm のキャッシュを確認すること。

lockfile を監査し、当該時間帯に公開された悪意あるバージョンが混入していないか確認して除去、クリーンな正規版へ固定する。npm ci をクリーン環境で再実行し、CI/開発端末で露出し得たシークレットを失効・ローテーションする。

TanStack @tanstack/* (npm パッケージ群) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-45321）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/10 です。推奨される対応: ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。