Coderのモジュールレジストリが侵害、不正なTerraformモジュールで認証情報を窃取 — 8月31日の約14時間に配信

クラウド開発環境の提供基盤であるCoder社は2026年9月1日、同社のモジュールレジストリ（registry.coder.com）の配信基盤が侵害され、認証情報を窃取する不正なTerraformモジュールが一部の利用者に配信されたと公表した。開発者がテンプレートの部品を調達する正規の配布経路が悪用された、サプライチェーン攻撃の事例だ。

何が起きたか

Coder社の公表（セキュリティアドバイザリ）によると、身元不明の攻撃者はCoder社が利用するCloudflare側の構成にアクセスし、モジュールレジストリの配信プールに不正なIPアドレスを追加した。これらの不正サーバはCoder社のレジストリを装い、悪意あるコードを含む成果物をホストしていた。その結果、短時間ながら正規レジストリのサイトが一部の利用者に不正版の成果物を配信した。

不正モジュールが配信された期間は、8月31日7時35分から21時45分（UTC、日本時間の同日16時35分から9月1日6時45分）の約14時間だ。この期間にregistry.coder.comからモジュールを取得したCoder利用環境が影響を受けた可能性がある。Coder社は、影響の有無を利用者側で個別に確認する必要があると説明している。攻撃者が管理しないサーバとの通信だったため、同社側で影響者を確定できないためだ。

不正モジュールの動作

改ざんされたTerraformモジュール（インフラ構築手順を束ねた再利用可能な部品）は、実行環境から認証情報を収集する情報窃取型（インフォスティーラー）として動作した。Coder社が挙げた窃取対象は次の通りだ。

• プロビジョナー（構築処理を実行するコンポーネント）の環境変数とシークレット
• クラウド基盤やAIツール群のAPIキー
• CI/CDの認証情報
• 設定ファイル内の秘密情報やターミナル履歴
• 利用者のOIDCトークン、設定済みのSSHキー
• ワンタイムの外部認証トークン
• プロビジョナーをCoder本体（coderd）と同居させている場合は、データベースパスワードなどのCoder設定値

収集した情報は、Coder社が通常使うドメインに似せた類似ドメイン「coder-infra.com」へ送信された。アドバイザリは侵害指標（IoC）として、不正ドメインのほかIPアドレス「199.91.220.205」、不正スクリプト群（dlp-docker.sh、dlp.sh各変種）のSHA-256ハッシュ、Terraformの外部データ参照ブロック（data \"external\" \"telemetry\"）による不正スクリプト呼び出しを列挙している。

なおCoder社は、同社が保持する顧客データへの影響は現時点で確認されていないと説明している。

Coder社が求める対応

Coder社は該当期間（8月31日7時35分〜21時45分（UTC））に、新規テンプレートの作成、テンプレート更新、テンプレート変更の試行（ドライラン）、モジュールキャッシュ無効下でのワークスペース実行のいずれかを行った利用者に、次の対応を求めている。

• ファイアウォール、プロキシ、DNS、VPCフローのログで不正ドメインへの外向き通信の有無を確認する
• 公開したSQLクエリで、該当期間に取得・キャッシュされたモジュールやテンプレート版、ワークスペースを特定する
• 影響の可能性があるキャッシュ済みパッケージを削除してから、新規にデプロイする
• 9月1日に公開された修正を含む最新版のCoderへ更新する
• プロビジョナーが触れ得た認証情報（クラウド・AIツールのAPIキー、CI/CD認証情報など）を予防的にローテーションする

日本の組織でもTerraformによるインフラ自動化は広く使われており、開発基盤の部品取得元が正規かどうかは見えにくい。Coder社は影響確認の具体手順を公開しているため、Coderを利用する組織はアドバイザリの手順に沿って該当期間の取得履歴を確認し、必要に応じて認証情報を交換することが求められる。

出典

• Coder「Malicious Packages Served from Unauthorized Registry Server」（GitHub Security Advisory、2026年9月1日公開） https://github.com/coder/coder/security/advisories/GHSA-vx42-ghc9-gw65