Namastex.ai の NPM パッケージがマルウェア「CanisterWorm」に感染 — JavaScript 開発者のコード実行環境が危険にさらされる

Socket.dev のセキュリティチームが、JavaScript ライブラリ配布サイト NPM 上の Namastex.ai 関連パッケージに TeamPCP スタイルの「CanisterWorm」マルウェアが仕込まれていることを発見した。このマルウェアは、開発者がコードをダウンロード・実行する際に悪意あるプログラムを挿入する。

CanisterWorm は従来の NPM マルウェアと異なり、コンテナ環境（Docker など仮想化されたソフトウェア実行環境）内での動作を意図した設計になっており、CI/CD パイプライン（自動テスト・本番配信の流れ）に潜み続ける可能性が高い。検出を逃れやすく、削除も困難。

Namastex.ai のパッケージを使用している JavaScript 開発プロジェクト全体のセキュリティが損なわれている。感染したコードが本番環境にデプロイされれば、ユーザーデータ流出やシステム乗っ取りのリスクが生じる。直ちにパッケージの更新確認と監査が必須。