概要

開発環境プラットフォームのCoderは、モジュールレジストリ「registry.coder.com」を標的としたサプライチェーン攻撃のインシデントを公表した。発端はCloudflare APIキーの侵害で、攻撃者はこれを悪用してレジストリ宛トラフィックの一部を、正規ドメインに酷似した「coder-infra.com」という自身が管理する不正サーバーへリダイレクトした。2026年8月31日07:35〜21:45 UTC(日本時間で同日16:35〜翌日06:45頃)の約14時間10分間にわたり、AWSやGCP、Azureなどのクラウド認証情報をスキャンして外部ドメインへ流出させるよう改ざんされたモジュールが配布され続けた。

攻撃の手口と影響範囲

攻撃の起点はCoder自体のコードベースやGoogle Cloud基盤の侵害ではなく、あくまでCloudflare APIキーの窃取によるトラフィック制御の乗っ取りだった点が特徴だ。攻撃者はこの権限を使ってレジストリの一部リクエストを不正サーバーへ誘導し、そこから配布したモジュールにクラウド認証情報を収集して外部に送信する機能を仕込んでいた。影響を受ける可能性があるのは、インシデント期間中に新規テンプレートを作成・更新したユーザー、またはモジュールキャッシュを無効化した状態でワークスペースを作成したユーザーに限られるとされ、通常のキャッシュ経由のワークスペース作成では影響を受けにくい設計だったことがうかがえる。

Coderの対応と再発防止策

Coderはインシデント発生と同日中に、悪意あるIPアドレスの削除とキャッシュのクリアを実施して不正リダイレクトを是正した。あわせてコードベースとGoogle Cloud基盤自体には侵害がないことを確認し、パッチをリリースしている。今後の再発防止策として、Cloudflareのようなサードパーティシステムやインフラストラクチャに対しても、既存のSOC 2 Type IIプログラムで実施しているセキュリティ監査・ペネトレーションテストと同等の厳格な精査を拡大する方針を示した。

ユーザーが取るべき対応

Coderは影響を受けた可能性のあるユーザーに対し、ファイアウォールやプロキシ、DNS、VPCフローログを確認し「coder-infra.com」への通信履歴がないか調査するよう呼びかけている。また、GitHubセキュリティアドバイザリ(GHSA-vx42-ghc9-gw65)で提供されるSQLクエリを使えば、影響を受けたモジュールやテンプレートバージョンを特定できるとしている。加えて、自動是正機能を含む最新版のCoderへの更新を推奨しており、クラウド認証情報を利用する開発基盤の運用者は、サプライチェーン経由の認証情報漏えいリスクとして本インシデントを踏まえた点検が求められる。