Arch Linuxは、放置されたメンテナンス切れのパッケージを標的とした悪意ある活動の急増を検知したことを受け、Arch User Repository(AUR)におけるパッケージ譲渡機能を一時的に無効化しました。
Arch LinuxのDevOpsチームは2026年7月30日、無許可のパッケージ乗っ取りに続いて有害なコミットが注入されるという攻撃キャンペーンが進行中であることを理由に、この緊急措置を確認しました。
コミュニティ内で「Antiz」として知られるRobin Candau氏が、Arch Linux DevOpsチームを代表して公式メーリングリストに勧告を投稿しました。
Candau氏によれば、チームが状況を調査・是正する間、「AUR経由で行われる悪意あるパッケージ譲渡とそれに続くコミットの現在の流入」を理由に、譲渡機能が無効化されたとのことです。
Arch Linux、AURパッケージ譲渡を一時停止
AURは、ユーザーがArchの公式リポジトリに含まれていないソフトウェアのビルドスクリプト(PKGBUILD)を提出・保守・譲渡できる、コミュニティ主導のリポジトリとして運営されています。パッケージ譲渡機能を使うと、ユーザーは放置されたパッケージの所有権を取得できます。
この仕組みはAURを最新の状態に保つ上で不可欠なものですが、攻撃ベクターと化してしまいました。脅威アクターは放棄されたパッケージを組織的に譲り受けたうえで、ビルドスクリプトに悪意ある改変を加えており、これによりインストールしたユーザーが侵害される可能性があります。
無許可の譲渡に続いて悪意あるコミットが行われる手口は、コミュニティ系パッケージリポジトリにおいて既知のサプライチェーン攻撃の手法です。攻撃者は放置されたパッケージを狙うことで、監視の甘さを突きます。こうしたパッケージには不審な変更を監視するアクティブなメンテナーがいないことが多いためです。
パッケージを譲り受けた後、攻撃者はPKGBUILDファイルを改変し、二次ペイロードをダウンロード・実行するコマンドや、認証情報の窃取、永続化の確立といった悪意あるコードを埋め込むことができます。これらはmakepkgを通じたビルドやインストールの過程で自動的に実行されます。
このパターンは、過去のAUR侵害事例やnpm、PyPIのサプライチェーン攻撃など、オープンソースエコシステムにおけるこれまでの事件と同様の構図です。これらの事件では、コミュニティによる貢献モデルへの信頼が大規模に悪用されました。
このキャンペーンを受け、Arch Linuxチームはさらなる悪意ある乗っ取りを阻止するため、AURのパッケージ譲渡機能をプラットフォーム全体で無効化しました。
同チームはまた、コミュニティに対し不審な譲渡イベントや未レビューの悪意あるコミットを報告するよう呼びかけるとともに、事態が収束次第、続報を発表することを約束しました。
本稿執筆時点で、同チームは影響を受けたパッケージの範囲、侵害されたメンテナーアカウントの数、あるいは悪意あるコミットに関連する具体的な侵害指標(IoC)については公表していません。
セキュリティ意識の高いArch LinuxおよびAURユーザーは、最近譲渡されたAURパッケージや新たに変更が加えられたAURパッケージ、特に所有権が突然変わったものを無条件に信頼することを避けるべきです。
パッケージをビルド・インストールする前にPKGBUILDファイルを手動でレビューすることが望ましく、特にあまり一般的でないソフトウェアや最近放置されたばかりのソフトウェアについては注意が必要です。
ユーザーはまた、影響を受けたパッケージや是正措置に関する最新情報について、Arch Linuxの公式発表を注視すべきです。さらにAURヘルパーの利用には注意を払い、変更を自動的にインストールするツールではなく、PKGBUILDの差分をレビュー用に表示してくれるツールを優先することが望まれます。
この事件は、分散型パッケージエコシステムにおける拡大するリスクを浮き彫りにしています。ユーザーが保守するリポジトリが規模を拡大するにつれ、譲渡やメンテナー交代のワークフローがサプライチェーン攻撃の格好の標的となりつつあるのです。
警告:20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃調査の全容を確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/arch-linux-suspends-aur-package-adoptions/
