Checkmarx Jenkins ASTプラグインがサプライチェーン攻撃で改ざん、CI/CD環境に直撃の脅威

「Jenkinsプラグインが改ざんされたら、自社のソースコードまで盗まれてしまうの？」
「セキュリティ会社のツールがハッキングされるなんて、何を信じればいいの？」

チップス

ボス！Checkmarxの「セキュリティテストプラグイン」が改ざんされていたって、ちょっと洒落にならないでしゅよ…
うちのCI/CDにも入ってる気がするでしゅ。

ボス

そうだな、セキュリティ会社のツール自体がサプライチェーン攻撃の踏み台になった事案だ。
2026年5月8日にCheckmarxが正式警告を出して、対応バージョンへの更新を呼びかけている。

Checkmarxはアプリケーションセキュリティテストの主要ベンダーですが、自社のJenkinsプラグインが改ざんされて配布されるという事態に追い込まれました。
本記事では事案の経緯と、CI/CDパイプラインを守るために今すぐすべきチェックを解説します。

「セキュリティツール経由でやられる」という、最も避けたいパターンの実例を見ていきましょう。

Checkmarx Jenkins ASTプラグイン改ざん事案の経緯

Checkmarxは2026年5月8日(金)、自社が提供するJenkins用のApplication Security Testing(AST)プラグインに改ざん版が公開されていたと発表しました。
このプラグインは、Jenkinsビルドパイプラインの中で脆弱性スキャンを実行するためのもので、ソースコードと認証情報にフルアクセスを持ちます。

事件の時系列

この事案は単発ではなく、2026年3月以降続いているCheckmarxへの一連のサプライチェーン攻撃の続報という位置付けです。
当初はTeamPCPと呼ばれるグループが起点となり、後にLapsus$系の恐喝集団が関与したとされます。
Checkmarxは2.0.13-829.vc72453fa_1c16(2025年12月公開)以降を使っているか確認し、最新の2.0.13-848.v76e89de8a_053へアップデートするよう呼びかけています。

チップス

セキュリティ製品の中身が悪意のあるコードに置き換わってたんでしゅか…

ボス

そうだ。CI/CDの中で動くプラグインだから、ソースコードもクラウド認証情報も丸見えになる。
影響範囲の特定が一番難しい類いだな。

CI/CDパイプラインを守るための実践チェック

セキュリティテスト系プラグインは、ビルド成果物・ソースコード・クラウド資格情報すべてに触れる「特権コンポーネント」です。
改ざんされた場合の影響は通常のライブラリ汚染とは比較になりません。

今すぐ確認すべきポイント

まずはJenkins管理画面の「プラグインマネージャー」で、Checkmarx関連プラグインのバージョンを確認しましょう。
改ざん影響期間中に動かしていた場合は、ビルドノードでアクセス可能だったクレデンシャルを総入れ替えするのが安全策です。

長期的な再発防止

個別のパッチを当てるだけでは、また同じ轍を踏みます。
サプライチェーン全体を可視化するSBOM運用と、CI/CD環境を「使い捨てインフラ」として扱う設計が現実的な答えです。

取り組むべき設計指針は以下のとおりです。

チップス

ビルドノードを使い捨て化、ってめんどくさそうでしゅが…

ボス

最初は手間に感じるが、改ざんプラグインが紛れ込んでも傷は最小限になる。
長期的には運用も楽になるはずだ。

詳細はSecurityWeekの報道を参照してください。

まとめ：セキュリティ製品も「サプライチェーンの一部」と捉える

セキュリティベンダーのツールだから安全、という前提はもう成り立ちません。
むしろビルドプロセスやランタイム特権を持つ分、攻撃価値が高い部品と見なすべきです。

チップス

「セキュリティ会社の製品を入れたから安心」って思考、ヤバいでしゅね。

ボス

その思考停止が最大の脆弱性だ。
導入後も継続的にバージョンとログを見続ける運用に変えていけ。

CI/CD周りの設計改修は、Jenkins経験と暗号鍵運用の両方を理解する人材が必要です。
社内で手が足りないなら、外部のセキュリティフリーランス活用も視野に入れてください。