5分で問診！Composer セキュリティ健康診断

Transcript

1. 5分で問診！ Composer セキュリティ健康診断 PHPカンファレンス2026 Akito Tsukahara
2. 自己紹介 塚原 彰仁 @AkitoTsukahara 株式会社コドモン ソフトウェアエンジニア 2歳の息子とトイプードルの父。 2014.10 学生の頃に初のPHPカンファレンスに参加 2026.07 人生で7回目のPHPカンファレンス 2
3. OSSサプライチェーン攻撃とは コードを直接攻撃せず、 信頼されたパッケージを乗っ取る攻撃 3
4. OSSサプライチェーン攻撃とは パッケージinstallを実行しただけで、 コード変更なし・ユーザー操作なしで感染 4
5. axios npm サプライチェーン攻撃（2026/3/31） アカウント乗っ取りによる不正なバージョンを公開 被害規模 • 週次1億ダウンロードの人気パッケージが、わずか3時間で世界中に拡散 • 実害を受けた可能性のある規模：数百〜数百万ユーザー（Microsoft推定） 5
6. PHPエコシステムでも発生（2026年4月〜5月） • intercom/intercom-php（2026/4/30） ◦ Mini Shai-Hulud（TeamPCP）による組織的攻撃の一部として PackagistのGitタグを改ざん • laravel-lang（2026/5/22-23） ◦ 漏洩したGitHub PATを悪用し、4リポジトリで700件超のGitタ グを改ざん 6
7. 皆さんは対策できていますか？ 󰳋🩺
8. この診断に、絶食は不要です。 その場での挙手🙋も不要です ⚠ 挙手すると、インシデントとして扱われる可能性が...🙅 8
9. 開発フローと防御ポイント ①取り込む前 ②取り込む時 ③使っている間 選定・検証 インストール 制御・監視 ⓪前提：Composer自体を最新に保つ 9
10. 問診① ⓪前提 Composerのバージョンは 最新ですか？ 10
11. 処方① ⓪前提 composer self-update で更新する Composer自体のRCE脆弱性（CVE-2026-40176等）／ 2.10のマルウェア検知・タグ改ざん防止は最新版のみ 11
12. 問診② ①取り込む前 公開直後のパッケージ、 いきなり入れてませんか？ 12
13. 処方② ①取り込む前 クールダウンを設定して、 公開直後の数日は様子見を 悪意のあるリリースの多くは数分〜数時間で検知される →数日待つだけでも大半を回避できる 13
14. 処方② ①取り込む前 Renovateの例： “minimumReleaseAge”: “3 days” Dependabotの例： cooldown: default-days: 7 # 未設定だと3日 これが効くのは自動更新の経路だけ 手元で追加する時には注意が必要 14
15. おまけ：コドモンでの取り組み Lefthookで公開直後パッケージをコミット前にチェック 手動追加におけるクールダウンチェックをカバー git commit Lefthook lock差分を抽出 公開日をチェック パッケージの 更新 pre-commit フックで起動 追加・更新 パッケージを特定 公開直後なら 警告⚠ ⚠ 公開日チェックに利用しているpublished_atが改ざんされたら防げない🙅 15
16. 問診③ ②取り込む時 composer.lock リポジトリにコミット していますか？ 16
17. 処方③ ②取り込む時 composer.lock をコミットし、 composer install で運用 依存関係の再現性と改ざん検知のため laravel-lang事例：同一バージョン番号のまま中身だけ差し替え→lock固定+installなら防げた 17
18. composer.lockの役割(1/2) composer.lockなしの場合 composer.json “pkg”: “^1.0” install 7/20 7/21 7/22 v 1.0.2 v 1.0.3 v 1.0.3 💀 installする度にバージョンが変化する 改ざんされたバージョンを取り込んでしまうリスクがある 18
19. composer.lockの役割(2/2) composer.lockありの場合 composer.lock “asdf123” install 7/20 7/21 7/22 v 1.0.2 asdf123 v 1.0.2 asdf123 v 1.0.2 asdf123 毎回同じ中身が取り込まれる CI経由でのinstallでも問題なし(バージョン偽装も防げる) 19
20. 問診④ ②取り込む時 composer install に --no-scripts --no-plugins 付けてますか？ 20
21. 処方④ ②取り込む時 installでは、依存側のスクリプトを実行させない composer install --no-scripts --no-plugins ⚠ 何にでも付ければ良い訳ではない Laravel等は package:discoverが必要。必要なスクリプトだけ後から明示的に実行する 21
22. 問診⑤ ③使っている間 CIで composer audit、 実行していますか？ 22
23. 処方⑤ ③使っている間 CIパイプラインに composer audit を組み込む（検知したら落とす） composer audit --format=summary || exit 1 audit.block-insecure（2.9~）はupdate / require時のみ有効 23
24. 詳細チェックリスト ⓪前提 ◻ Composer自体を最新に保つ ⭐ ①取り込む前 ◻ 公開直後の版をすぐに取り込まない ⭐ ◻ 依存追加の前にパッケージの素性を確認 ◻ （組織）取り込み窓口の一元化・ミラー経由 ②取り込む時 ◻ composer.lock をコミット ⭐ ③使っている間 ◻ CI でcomposer auditを実行 ⭐ ◻ プルリクで composer.lock の差分をレビュー ◻ 脆弱性発見から一定時間内に更新するルール ◻ 上流が直らない場合の代替手段（フォーク等） 番外編（CI/CD） ◻ CI に渡すクレデンシャルの最小権限化 ◻ CI/Docker での非root実行 ◻ allow-plugins を許可リスト化 ◻ CIで --no-scripts --no-plugins ⭐ ⭐＝本編で紹介した項目 24
25. Web問診票を用意しました！チェックしてみよう https://akitotsukahara.github.io/composer-health-check/ 25
26. Web問診票を用意しました！チェックしてみよう https://akitotsukahara.github.io/composer-health-check/ 26
27. 定期的な診断もお忘れなく 💊
29. 付録💊
30. 付録｜取り込み窓口の一元化（組織向け） ①取り込む前 Packagist.org に直接アクセスしていますか？ Private Packagist等のミラーを経由すると： • マルウェア版のダウンロードを組織全体でブロック（古いComposerでも有効） • 依存パッケージが削除されてもビルド継続可能 参考：Blocking malware downloads for every Composer version in Private Packagist 30
31. 付録｜composer.lock 差分のレビュー ③使っている間 プルリクで composer.lock の差分、見てますか？ • 意図しないパッケージの追加・バージョン変更に気づける最後の目視ポイント • 「なぜこの間接依存が増えた？」に答えられるか lockが守れるのはinstall時のみ update時の差分レビューが、改ざん参照を持ち込む前の最終防衛 laravel-lang事後調査でも、lockのSHAを上流履歴と突き合わせる方法が感染判定手段に 31
32. 付録｜audit.block-insecure の補足 audit.block-insecure は Composer 2.9からデフォルトで true • update/require/remove の依存解決時のみ有効 • composer install には適用されない（lockの再現性維持のため意図的な仕様） なので CIでの composer audit 必須化でカバーする 既知の脆弱性があるバージョンは依存解決の時点で弾かれるが、 lockファイルからのinstallは素通りする 32
33. 付録｜minimum-release-age の現状 ①取り込む前 Composer に minimum-release-ageは 現状未実装 • 依存ポリシーの基盤は Composer2.10 で追加済み、cooldownは追加予定 • published_at メタ情報を改ざん不可能にする前提作業の完了後に実装見込み それまでは Dependabot/Renovateのクールダウン設定で代替 npm等の他エコシステムには既に存在する機能 参考：An update on Composer & Packagist supply chain security 33
34. 参考リンク • CVE-2026-40176（Composer Perforceコマンドインジェクション） • Composer & Packagistサプライチェーンセキュリティ最新状況 • Composer 2.10リリース（マルウェア検知・タグ改ざん防止） • Composer 2.9.6リリースノート（CVE-2026-40261/40176修正） • Composer 2.9リリース（audit.block-insecure） • audit.block-insecureの適用範囲（update/require時のみ） • intercom-php侵害の詳細（Composerプラグイン化） • intercom-php GitHub Security Advisory • intercom-php：プラグイン化手口の一次分析（Socket） • laravel-lang侵害の詳細（Snyk Advisory） 34
35. 参考リンク • laravel-lang：lock固定＋installで影響なしの分析（StepSecurity） • laravel-lang：lockのSHA監査による感染判定手順（Mend） • axios npmサプライチェーン侵害（CISA Alert） • axios事件のポストモーテム（axios公式GitHub Issue） • axios事件の技術分析（Microsoft Security Blog） • OpenSSF S2C2F 公式仕様 • Packagist：安定版バージョンの不変化（immutable versions） • Private Packagist：マルウェアダウンロードブロック • Private Packagist：ミラーリング機能 35