TanStack の脆弱性（CVE-2026-45321）

何が起きた

TanStack の公開の仕組みが乗っ取られ、認証情報を盗む不正なプログラムを仕込んだ版が npm に公開されてしまいました。42 の @tanstack のパッケージに、合わせて 84 の不正な版が出されました。攻撃者は、GitHub Actions の設定の不備など3種類の既知の弱点を組み合わせて、信頼された名義で公開していました。CISA の KEV で悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

2026-05-11 に、影響を受けた @tanstack のパッケージの版を npm install などで入れた開発者のパソコンや CI の環境が対象です。各パッケージに2つずつ不正な版があり、たとえば react-router では 1.169.5 と 1.169.8 です。メーカーは、該当する版を入れた環境は乗っ取られたものとして扱うよう求めています。

何をすればいい

メーカーの表にある修正版に更新し、node_modules とロックファイルを消してから入れ直してください。入れたときに使えた認証情報は、すぐにすべて変えてください。一時的な守りとして、npm のインストール時にスクリプトを動かさない設定も勧められています。あわせてメーカーの公式の案内で、どの版が不正かを確認してください。

やることチェックリスト

• @tanstack の部品を修正版に更新して入れ直す
• node_modules とロックファイルを消してから入れ直す
• インストールした環境の認証情報をすべて変える

用語メモ

npm

JavaScript の部品（パッケージ）を公開したり、取り込んだりするための仕組みです。

GitHub Actions

GitHub 上で、テストや公開などの作業を自動で動かす仕組みです。

CI

プログラムの組み立てやテストを自動で行う仕組みや環境のことです。

ロックファイル

どの部品のどの版を入れたかを記録しておくファイルです。同じ版を入れ直すのに使います。