2026 年 4 月の axios CVE-2026-40175（CVSS 10.0）は、企業の依存関係管理体制を試す試金石になった。 24 時間以内に全プロジェクトを 1.15.0 へ更新できた企業と、3 週間かけて 60% しか到達できなかった企業の差は、ツール連携と SLA フローの整備度に集約される。本記事は、axios だけでなく npm 全般のサプライチェーン攻撃に備えるプレイブックを、中堅企業（情シス 2-5 名）向けに整理する。

目次

  1. サプライチェーン攻撃の系統と直近事例
  2. 3 ツール連携設計（Dependabot＋Snyk＋npm audit）
  3. 24 時間 SLA 意思決定フロー
  4. 影響範囲特定 grep／SQL テンプレ
  5. 段階的ロールバック手順
  6. SBOM 整備と継続運用
  7. 中堅企業のテーブルトップ演習シナリオ
  8. よくある質問（FAQ）

サプライチェーン攻撃の系統と直近事例

系統代表事例影響
直接 OSS の CVEaxios CVE-2026-401751.15.0 未満全プロジェクトで RCE
悪意ある typosquattingcolors.js（2022 年）／node-ipc（2022 年）ライブラリ作者が悪意更新
メンテナアカウント乗っ取りevent-stream（2018 年）後続バージョンに malware 混入
ビルドパイプライン汚染Solarwinds 級ビルド時に compromised
Postinstall スクリプトnpm 全般install 時に任意コード実行
直近 12 ヶ月で日本企業に影響したのは「直接 CVE」が 90% 以上、残り 10% に「typosquatting」「ビルド汚染」が混在。

3 ツール連携設計

役割分担

ツール担当領域通知先コスト
Dependabot軽微〜Medium 自動 PRGitHub PR無料
SnykHigh／Critical 即時アラート＋修正提案Slack #sec-alert年 60 万円〜
npm auditCI ゲート（PR ブロック）GitHub Actions無料

Dependabot 設定例（.github/dependabot.yml）

Snyk Slack 通知ルール

  • Critical／High → Slack 即時＋メール
  • Medium → 日次サマリー
  • Low → 週次サマリー

CI ゲート（npm audit）

24 時間 SLA 意思決定フロー

影響範囲特定 grep／SQL テンプレ

npm 依存（package.json）

lockfile 内の解決バージョン

全リポジトリ横断（GitHub 組織管理）

CMDB／資産管理 DB

段階的ロールバック手順

段階対象確認内容
1. devfeature ブランチ単位単体／結合
2. stagingリリース候補結合／E2E
3. canary本番 5-10%エラー率／レイテンシ
4. 部分反映本番 50%同上＋業務確認
5. 全反映本番 100%監視ダッシュボード継続
問題発生時は即時 1 段階前に戻す。

SBOM 整備と継続運用

経済産業省「ソフトウェア管理に向けた SBOM の導入に関する手引」2024 年改訂版に準拠する場合の最小構成：

要素フォーマット更新タイミング
部品表SPDX 2.3 / CycloneDX 1.5各 deploy 後自動生成
ライセンス情報SPDX 識別子部品表と連動
脆弱性紐付けVEX（Vulnerability Exploitability eXchange）週次 or アラート時
ツール例: Syft（生成）／Grype（脆弱性紐付け）

中堅企業のテーブルトップ演習シナリオ

シナリオ: 月曜 10:00、Snyk から axios CVSS 10.0 アラート受信、150 リポジトリ／12 本番システムに影響可能性

時刻担当アクション
10:00情シス担当 Aアラート受信→CISO Slack 通知
10:30CISOCritical-A 認定、24h SLA
11:00SRE 兼任grep で影響 47 リポジトリ特定
12:00開発リーダー主力 5 システムから着手
14:00各開発担当Dependabot PR 順次マージ
18:00SREstaging 全反映、回帰テスト
20:00SREcanary 開始
翌 04:00監視全反映完了、異常なし
翌 09:00CISO経営層／主要取引先 報告

よくある質問（FAQ）

Q. Dependabot だけで Snyk は不要？ A. 検知速度／カバレッジ／修正提案品質で Snyk が優位。中堅企業以上では併用が標準。月数十万円のコストは年間 1 件のインシデント回避で回収。

Q. npm audit は誤検知が多いと聞く、CI ゲートに使う意味は？ A. `--audit-level=high` で誤検知の大半は除外可能。残った検知は人手判定。完全自動化は望めないが、High 以上のすり抜け防止には有効。

Q. SBOM は本当に必要？ A. 政府調達・金融・重要インフラでは 2025 年以降事実上必須化。一般中堅企業でも 2027 年までに整備推奨。後追いになると整備工数が膨らむ。

参考資料

  • IPA「ソフトウェアサプライチェーン攻撃の対策」2024 年版
  • 経済産業省「ソフトウェア管理に向けた SBOM の導入に関する手引」2024 年改訂版
  • CISA「Software Bill of Materials (SBOM)」ガイダンス

サプライチェーン対応プレイブックの整備、Dependabot＋Snyk 設計、SBOM 自動生成パイプライン構築は、GXO のセキュリティ運用支援サービスでワンストップ支援可能です。