CrowdSec ソースコード漏洩

CrowdSec声明：2026年5月のソースコード流出

9月16日、CrowdSecは2026年5月に発生したGitHubリポジトリに関わるソースコード流出の報告を受けました。チームは報告内容を確認し、事実であることを確認しました。CrowdSecのソースコードは2つの部分から構成されています。1つはプライベートなもので、もう1つは当社のFree Open Source Software（すなわち、セキュリティエンジン）をホストするもので、これは設計上公開されており、今回の件の範囲外です。しかし、プライベートな部分には、当社のSaaSコンソール、一部のAWS Cloudルーチン、一部のコネクタ、および自動化のためのソースコードが含まれています。

300もの異なるリポジトリが関与したという見出しは正確です（130以上の公開リポジトリを含めると）、しかしその数は特定のボリュームというよりは、コードの細分化を主に反映しています。これらのリポジトリには全てのコードが公開されているため、「他のファイルが含まれていた」とか「内部開発資料」といった主張は確認していません。API関連の情報は、CI/CDコンポーネント自体が使用するトークンです。（下記参照）

クライアントデータ、ログイン/パスワード、氏名、組織名、その他一切のデータは漏洩しておらず、CrowdSecはPII（個人識別情報）やクライアントログを保存していません。影響はCrowdSecに限定されます。 チームは、ラテラルムーブメント（横展開）を可能にする可能性のあるトークン、認証情報、機密情報の漏洩がないか迅速に調査しましたが、現時点では何も見つかっていません。

これらのプライベートリポジトリに含まれるコードには価値がありますが、CrowdSecに実質的な損害を与えることはできません。なぜなら、当社の効率はネットワーク効果と規模に依存しており、コードだけではそれを再現できないからです。SaaSソースコードは定期的に監査されており、その流出が直ちに脅威となることもないはずです。流出したコードの多くは、この4ヶ月で大きく進化していますが、異常なアクティビティがないか引き続き監視します。また、CrowdSecの外部で利用することは、当社のデータやツールとしかやり取りしないため、他のコンテキストで活用することは現実的ではないでしょう。

調査を続ける中で、皆様に最新情報を提供していきますが、Mistral AIの件と同様に、Tanstackの侵害が流出経路であった可能性が非常に高いです（詳細はこちらをご覧ください https://cybelangel.com/blog/attaque-mistral-ai-comment-la-compromission-tanstack-a-contamine-le-sdk/）。このコンポーネントは2026年5月に当社の組織で使用されており、プライベートコードベースを読み取る権限を持つAPIキーを抽出するためにバックドアが仕掛けられていたようです。この流出は、2026年5月の短い期間のみ悪用可能でした。

それにもかかわらず、当社はさらなるインシデントを防ぐために、必要な全てのトークンと認証情報を直ちにローテーションしました。

チームは、この問題をタイムリーかつ専門的に報告してくれた Fuites Infos に感謝いたします。