7 min
Mini Shai-Hulud 2nd Waveの概要と対策
2026年5月11日から発生した`@tanstack`エコシステムを中心とする「Mini Shai-Hulud」サプライチェーン攻撃の第二波について、侵害手法、被害内容、そして具体的な対策の概要を解説します。
4posts
6 min
npmパッケージ公開のOIDC Trusted publishingへの移行
OIDC Trusted publishingを用いたnpmパッケージの公開方法およびTrusted publishingのメリットと制約について。
1 min
Q. npm publishで429 Too Many Request エラーが返ってくる
npm publishで429 Too Many Request エラーが返ってくる問題について調査した結果をまとめた。
3 min
Q. npm, pnpm, yarn, npxの違いを一ミリも理解していない
npm、pnpm、yarn、npxの違いを一ミリも理解していないと相談を受けた際のメモ。
Bits · 21 件
npm、bypass-2FA granular access token の制限
2FA を回避する npm granular access token では、トークン作成・メンテナ変更・Trusted Publishing 設定などの管理操作ができなくなった。自動公開は Trusted Publishing か staged publishing へ寄せる必要がある。
npm、publish 時マルウェアスキャンと dual-use メタデータ
新規公開パッケージはインストール可能になる前に自動スキャンされ、通常は数分の遅延が入る。マルウェアに似た正当機能は package.json の contentPolicy と DISCLOSURE で宣言する。
Corepack、偽サイト corepack.org の Infostealer 配布
Socket が corepack.org を解析し、Windows 向け exe 経由で Infostealer と proxyware を配布していると確認。公式配布は npm の corepack パッケージのみ。
Vite 向け scoped npm、ViteVenom サプライチェーン
Checkmarx が Vite 向けの悪意ある scoped npm パッケージ 7 本を ViteVenom として特定した。ChainVeil と共有するブロックチェーン C2 経由で RAT を届け、合計約 2,420 ダウンロードが確認されている。
npm 12 GAと2FA回避GATの段階的廃止
npm v12 が latest として一般提供され、install 時のセキュリティ既定が有効になった。2FA を回避する granular access token は、アカウント管理と直接 publish から段階的に権限が縮小される。
npm 12
npm install のセキュリティ関連デフォルトが v12 で opt-in 化される。Git 依存・リモート URL・install スクリプトは明示許可が必要になり、11.16.0 以降で警告を確認できる。
Deno 2.8
Deno 2.8 で複数の新しい subcommand が追加され、依存関係の監査・バージョン更新・CI 向けインストールなどの操作を専用コマンドで実行できるようになった。
npm 11.15.0
staged publishing が追加され、`npm stage` で 2FA を「承認」まで遅延できるようになった。
Bitwarden CLI、npm 2026.4.0 のサプライチェーン侵害
npm の @bitwarden/cli 2026.4.0 に Checkmarx 系サプライチェーン事案に絡む悪意あるビルドが短時間載った。Bitwarden は当該版を非推奨化し 2026.4.1 を出した。影響は米東部時刻 2026年4月22日 17:57〜19:30 に npm から当該版を入れたケースに限ると表明している。
npm trusted publishing、CircleCI を OIDC プロバイダとして追加
npm trusted publishing が CircleCI を OIDC プロバイダとしてサポートした。CircleCI からの公開で長期資格情報の保管を避け、CI/CD から直接認証できる。
Dependabot、npm依存のマルウェア検知
GitHub Advisory Database 照合による opt-in の malware アラート。CVE 系とは別カテゴリ、ルールによる絞り込み、有効化時の既存分バックフィル。現状 npm のみ。
npmx alpha公開、npmレジストリ向けブラウザでパッケージの評価情報を一元表示
alpha公開。ダウンロード統計、install size、module format、古い依存、e18e連携のパフォーマンス推奨、JSR横断、READMEからStackBlitz等起動、19言語対応。Storybook・Chromatic・VoidZero・e18eとの連携。
npm CLI v11.10.0リリース
min-release-ageのサポート、Git経由でのコード実行防止策、OIDC設定の一括処理を追加。
npm Classic Tokenの廃止とセッションベース認証の導入
npmのClassic Tokenが廃止され、2時間有効なセッションベースのトークンによる認証が導入された。また、Granular TokenをCLIから管理するツールも追加された。
npmセキュリティアップデート：Classic token作成無効化とgranular token変更
GitHubがnpmのセキュリティ強化の一環として、npm token管理システムの変更を実施した。
npm OIDC trusted publishing機能が一般提供開始
npmでOpenID Connect（OIDC）を使ったtrusted publishingが一般提供開始。CI/CDワークフローからnpmトークンなしでパッケージを公開でき、長期トークンの管理を避けられる。GitHub ActionsとGitLab CI/CDからの短期間ワークフロー固有認証情報で認証し、trusted publishing使用時は自動でプロヴェナンス証明が生成される（--provenanceフラグ不要）。npm CLI v11.5.1以降で、パブリック・プライベート両方のパッケージに使える。 ### 参考文献
npm Stylus削除事件で世界中のビルドが破綻
npmがStylusライブラリの全バージョンを削除し、世界中の開発者のビルドとパイプラインが停止。週300万ダウンロードを受ける人気のCSS生成ライブラリが「セキュリティホールディング」ページに置き換えられた。
Deno v2.0
Deno v2 がリリースされた。
npm v10.9.0 devEngines
npm v10.9.0 でdevEnginesフィールドが追加された。
vlt
npm に代わる新しい JavaScript のパッケージシステム「vlt」を開発している vlt technology に、npm の作者や今まで npm に関わったメンバーが参加したらしい。
Deno 1.34リリース
Deno Compileがnpmパッケージをサポートし、単一の実行可能ファイルの生成が可能に。