Arch LinuxのAUR、パッケージ「引き取り」機能を一時停止――何が起きているのか

📖 推定読了時間：約7分

Arch Linuxやその派生ディストリビューションを使っている人にとって、「AUR（Arch User Repository）」は欠かせない存在です。しかしこのAUR、実は2026年に入ってから断続的にサプライチェーン攻撃の標的になっており、ついに7月末、AURの根幹機能である「パッケージの引き取り」自体が一時停止される事態に発展しました。「自分はAURをそんなに使っていないから関係ない」と思っている人ほど、実は見落としがちな話かもしれません。この記事では、何が起きているのか、そして今すぐできる自衛策を整理します。

始まりは6月。400超のパッケージが汚染された「Atomic Arch」

ことの発端は2026年6月11日から12日にかけてでした。AURのメーリングリストに緊急の報告が投稿され、400を超えるパッケージのビルドスクリプト（PKGBUILD）が改ざんされていたことが判明します。研究者からは「Atomic Arch」と名付けられ、AUR史上でも最大級のインシデントとして扱われました。

幸い、この攻撃はレビュー体制が厳格な公式リポジトリには及ばず、有志が管理するAUR側に限定されていました。それでも、日常的にAURを使っている人にとっては、決して他人事ではない出来事でした。

実は、収束していなかった。7月末に起きた「第3波」

ところが、この問題は6月の対応で終わりませんでした。2026年7月30日、Arch Linuxの開発チームは、AURの「パッケージ引き取り（adoption）」機能自体を一時停止するという異例の対応に踏み切ります。理由は、悪意ある引き取りとそれに続く不正なコミットが再び相次いだためです。

AURには、元の管理者がメンテナンスを放棄した「孤児パッケージ（orphaned package）」を、希望者が正規の手続きで引き取れる仕組みがあります。本来はコミュニティ運営を健全に保つための機能ですが、攻撃者はこれを悪用し、放棄されたパッケージを引き取ったうえで、信頼された名前とダウンロード履歴をそのまま乗っ取り、悪意あるコードを仕込んでいたのです。

マルウェアの正体と、なぜ見抜きにくいのか

今回のキャンペーンで確認されているマルウェアは、Rustで実装された情報窃取型のプログラムで、ブラウザに保存された認証情報、暗号資産ウォレット、クラウドサービスの秘密鍵、SSH鍵などを狙うとされています。さらに、盗んだSSH鍵を使って他のシステムへ横展開する機能も報告されています。

• ⚠️既に信頼されているパッケージ名を乗っ取るため、利用者が気づきにくい
• ⚠️公式リポジトリは無事だが、AURは今後も同様の手口を警戒すべき状況が続く
• ✅被害の報告と対応は、Arch開発チームが継続的に行っている

AURを使っている人が、今すぐできること

心配しすぎる必要はありませんが、いくつか実践しておきたい習慣があります。AURヘルパーによる自動処理に完全に任せきりにせず、インストールや更新の前にPKGBUILDの内容、特にソースURLや新しく追加されたバイナリのダウンロード処理に目を通すこと。また、最近所有者が変わったパッケージや、更新頻度が急に上がったパッケージには一段と注意を払うことが有効です。

Git・GitHubの基本的な読み方に慣れておくと、PKGBUILDやビルドスクリプトの変更履歴を確認する際にも役立ちます。まだ自信がないという人は、GitHub・Gitの実践入門書籍で基礎を押さえておくと安心です。Linux全般の知識を体系的に見直したい人には、Linux入門書籍も併せておすすめです。万が一、環境の汚染が疑われる場合に備えて、クリーンインストール用のUSBメモリを1本手元に用意しておくのも、地味ながら有効な備えになります。

まとめ

AURは便利な仕組みである一方、コミュニティの信頼をベースに成り立っているぶん、今回のような乗っ取り攻撃の標的にもなりやすい構造を抱えています。2026年6月の大規模インシデントに続き、7月末には引き取り機能そのものが一時停止されるという異例の対応が取られました。日頃からPKGBUILDを確認する習慣をつけておくことが、結局のところ一番の自衛策になりそうです。今後の状況についても、Arch Linux公式のメーリングリストなどで継続的にチェックしておくとよいでしょう。

※本記事の情報は2026年9月1日時点のものです。状況は今後変化する可能性があるため、最新情報はArch Linux公式のアナウンスをご確認ください。