攻撃者が1,500以上のArch Linuxパッケージを乗っ取り

- Arch Linuxはローリングリリース方式を採用するLinuxディストリビューションで、ユーザーが自らシステムを構築・管理する能力を重視する。公式リポジトリとは別にAUR（Arch User Repository）というユーザー投稿型のビルドスクリプト集が存在し、実質的に誰でもパッケージを投稿できる。公式な審査やコードレビューが行われないため、これまでも悪意あるスクリプトが仕込まれる事件が繰り返し発生してきた。 - 今回、攻撃者はAURに登録された1,500以上のパッケージを乗っ取り、ビルドスクリプトにクレデンシャル（認証情報）を盗むマルウェアを埋め込んだ。この種の攻撃は「サプライチェーン攻撃」に分類され、公式リポジトリでなくとも末端ユーザーが依存する経路を標的とする点が脅威とされる。 - Arch Linuxはコミュニティ主導で運用されており、AURのメンテナンスはボランティアに依存している。この事件は、分散型のパッケージ管理がいかにセキュリティ面で脆弱になりうるかを改めて浮き彫りにした。