PRIMARY-SOURCE REVIEW · 2026-11-03T16:20:00+09:00
RubyGems：不正パッケージ3勧告、対象版と導入履歴を確認
今回の公開窓でRubyGemsのmalware勧告3件を確認。これは勧告数で、端末数・侵害件数ではない。各勧告のpackage名・対象バージョンは下表に原APIの条件を保持し、修正版未記載を安全な版へ置き換えない。
確認すること
gem導入・CIの履歴とlockfile・配布イメージを照合する。該当環境を隔離し、クリーンな別環境で鍵を失効・再発行する。削除だけで常駐コードが消えたと判断せず、再構築とログ調査を行う。
修正版は勧告の記載がある場合だけ示します。勧告数は被害件数ではありません。
勧告別：対象バージョンと修正版（3件）
GHSA-8v7q-mrx4-jvfg
Malicious code in dopc-client (RubyGems)
dopc-client(rubygems): 対象= 1.0.0→ 修正版修正版の記載なしdopc-client(rubygems): 対象= 10.0.0→ 修正版修正版の記載なし
GHSA-x49r-jpx2-h4h9
Malicious code in shoaib-unity (RubyGems)
shoaib-unity(rubygems): 対象= 1.0.1→ 修正版修正版の記載なし
GHSA-ppjw-cwjq-6w82
Malicious code in intercom-react-native-example-e2e-tests (RubyGems)
intercom-react-native-example-e2e-tests(rubygems): 対象= 1.0.1→ 修正版修正版の記載なし
一次資料
GHSA-8v7q-mrx4-jvfg / GHSA-x49r-jpx2-h4h9 / GHSA-ppjw-cwjq-6w82
関連する論点
DBHub：MySQL・MariaDBでread-onlyを回避、0.22.6で修正 · SD-JWT：改変Disclosureの黙示的な除外と認可条件 · npm：不正パッケージ92勧告、対象版と導入履歴を確認 · PyPI：不正パッケージ2勧告、対象版と導入履歴を確認