npm v12が数年で最大のセキュリティ改善を実現

【なぜ重要か】 2026年7月リリース予定のnpm v12では、依存関係のインストールスクリプトがデフォルトで無効化されます。過去1年間でNx s1ngularityやShai-Huludなど、postinstallスクリプトを悪用したサプライチェーン攻撃が多発しており、この変更により巨大な攻撃ベクターが大幅に縮小されます。

【ポイント】

• npm installで依存関係のpreinstall/install/postinstallスクリプトが自動実行されなくなり、許可リストに登録されたパッケージのみ実行される
• Git依存関係は--allow-gitフラグなしでは解決されず、リモートURL依存関係も--allow-remoteフラグが必要になる
• binding.gypファイルによる暗黙的なnode-gyp rebuildも許可リストの対象となり、ブロックされる
• 2025年秋以降のnpm攻撃の大部分がpostinstallスクリプトを悪用しており、パッケージを使用せずinstallするだけで被害を受けていた
• npm 11.16.0以降では警告付きでこれらの変更が利用可能で、v12リリース前に動作確認できる

【まとめ】 サプライチェーン攻撃の主要な攻撃経路を根本的に遮断する重要なセキュリティ改善です。npm 11.16.0以降にアップグレードし、npm approve-scriptsで許可リストを構築して準備することが推奨されます。