TanStackのnpmパッケージに不正バージョン（CVE-2026-45321）— 信頼された名義で認証情報窃取マルウェアを公開

CVE-2026-45321は、Reactエコシステムでよく使われるTanStack（TanStack Query／Router／Table などのライブラリ群）に関し、悪意あるバージョンがnpmレジストリへ公開された事案だ。CISAのKEVカタログに2026年5月27日付で追加され、ランサムウェアでの悪用も確認されている。

ポイントは「信頼された名義（trusted identity）」を悪用してマルウェアが配布されたこと。利用者から見れば普段使っている正規パッケージの新しいバージョンに見えるため、`npm install`やバージョン更新の中で気づかないうちに資格情報窃取マルウェアを取り込んでしまう恐れがある。盗まれるのは開発者のトークンや鍵で、これが正規になりすましたさらなる侵害の起点になる。

Nx Console（CVE-2026-48027）と同時期にKEV入りした、いずれも開発エコシステム（npm／IDE拡張）を狙うサプライチェーン攻撃であり、近年の攻撃トレンドを象徴する。

【対応の要点】TanStack関連パッケージを利用している場合は、ベンダーのGitHub Security Advisory（GHSA-g7cv-rxg3-hmpx）で影響を受けるパッケージ・バージョンを確認し、安全なバージョンへ更新する。lockファイルや取り込み済みの依存関係（直接・推移的の両方）を点検し、疑わしい期間にインストール／更新を行った端末・CIでは、使用したトークン・鍵を失効・再発行することが推奨される。連邦民生機関の是正期限は2026年6月10日。