npm 12、インストール時の依存スクリプト実行をデフォルト無効化――サプライチェーン攻撃対策
npm 12、インストール時の依存スクリプト実行をデフォルト無効化――サプライチェーン攻撃対策
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-14 |
| 元記事 | SecurityWeek |
要約
次期バージョンのnpm 12では、npm install実行時に依存パッケージのpostinstall・preinstallスクリプトがデフォルトで実行されなくなる。これはサプライチェーン攻撃の主要な侵入経路を塞ぐ重大な変更で、悪意あるパッケージがinstallフックを使ってマルウェアを自動実行するパターン（npmを通じた大規模攻撃で繰り返し悪用）を根本的に防ぐ。スクリプト実行が必要なパッケージは--ignore-scripts=falseフラグまたはホワイトリスト設定で明示的に許可する運用に移行する。エコシステム全体への影響は大きく、CIパイプラインやDockerビルドでの移行対応計画が急務となる。