Rustクレート「arrayref」に悪意ある版、ビルド時にマルウェア実行

Malicious Rust Crate Arrayref Runs a Build-Time Payload

人気のRustクレート「arrayref」のバージョン0.3.10が2026年8月20日にcrates.ioで公開されたが、この版はタイポスクワッティングされた「proc-macro1」というクレートに依存しており、そのビルドスクリプトがリモートのバイナリをダウンロードして実行する。ビルド時に実行されるため、影響を受ける版を依存関係に含むプロジェクトをコンパイルするだけで感染する。crates.ioチームは悪意のある版を削除した。arrayrefは累計約2億4500万ダウンロードされ、eguiやicedなどのGUIフレームワークを通じて広く使われている。