Mini Shai-Hulud 第二波の概要と対応指針（TanStack Router を含む 200 超の侵害）

CRANK

2026年5月11日、Mini Shai-Hulud キャンペーンの第二波が発生しました。TanStack Router を起点に、UiPath、Mistral AI SDK、DraftLab 等を含む 199 以上の npm パッケージが侵害されています。本稿執筆時点で、侵害可能性は継続しています。 第一波（4月29日〜30日）では SAP CAP 系・intercom-client・lightning の 6 パッケージが対象でしたが、第二波では CI/CD パイプラインの侵害によって有効な SLSA Provenance（Build Level 3）付きで悪性バージョンが公開されるなど、…