はじめに：なぜこの脆弱性があなたに関係あるのか？

フロントエンドエンジニアの皆さんにとって、Node.jsはビルドツール、開発サーバー、SSR（Server-Side Rendering）、BFF（Backend for Frontend）など、日々の開発において不可欠な存在でしょう。もしあなたのNode.jsアプリケーションが、信頼できないJavaScriptコード（例：ユーザーがアップロードしたスクリプトや、外部プラグイン）を隔離された環境で実行するために`vm2`ライブラリを使用している場合、今回発見された「GHSA-647f-g98j-qq25 / CVE-2026-92937」の脆弱性は、あなたのシステムにとって非常に重大な脅威となります。この脆弱性は、サンドボックスのセキュリティ境界を完全に回避し、ホストNode.jsプロセス上で任意のコードを実行できてしまうという、最高レベルの「Critical」に分類される深刻なものです。

脆弱性の概要：サンドボックス回避による任意コード実行

`vm2`ライブラリは、Node.js環境で信頼できないコードを安全に実行するための仮想マシン（サンドボックス）を提供します。しかし、今回の脆弱性は、このサンドボックスの核となるセキュリティメカニズムを完全に突破し、サンドボックス内で実行されている攻撃者のコードが、本来アクセスできないはずのホストOS上でコマンドを実行できてしまうというものです。これは、サンドボックスが無効化され、システムが乗っ取られるのと同義であり、非常に危険な状態を意味します。

技術詳細：どのようにサンドボックスは破られるのか？

この脆弱性の根底にあるのは、Promiseのエラーハンドリングにおける特定の処理の不備です。通常、ホスト側（Node.jsプロセス側）で定義され、サンドボックスに公開されたPromiseがエラーで拒否された場合、エラーオブジェクトはサンドボックスに渡される前に、ホストオブジェクトへの参照が除去されるように無害化（サニタイズ）されます。これは、サンドボックス内のコードがホスト側の重要なオブジェクトに直接アクセスするのを防ぐための極めて重要なセキュリティチェックです。

しかし、攻撃者は`p.then.call(p, undefined, callback)`のように`Function.prototype.call`（または`Function.prototype.apply`）を使ってPromiseの拒否ハンドラを間接的に登録することで、この重要なサニタイズ処理を意図的にスキップさせることができます。その結果、`process`オブジェクトのような強力なホストオブジェクトへの参照を含む「生の」エラーオブジェクトが、セキュリティチェックを通過してサンドボックス内に直接渡されてしまいます。サンドボックス内の攻撃者は、このエラーオブジェクトのプロパティを介して`process`オブジェクトなどのホストオブジェクトに直接アクセスし、例えば`child_process.execSync('rm -rf /')`のような機能を使って、ホストOS上で任意のコマンドを実行することが可能になります。

影響を受ける条件を確認しよう

以下の全ての条件を満たすシステムが、本脆弱性の影響を受けます。あなたのプロジェクトが該当しないか、今一度確認してください。

1. **`vm2`サンドボックス内で、攻撃者が制御する可能性のあるコード（信頼できないコード）を実行している。**

2. **かつ、`sandbox`オプションやNodeVMの外部モジュールなどを介して、ホスト側のPromiseをサンドボックスに公開している。**

3. **そのPromiseが、エラーオブジェクトのプロパティとしてホストオブジェクトへの参照（例: `err.detail = process`）を含んだエラーで拒否される可能性がある場合。**

潜在的なリスク：あなたのシステムが乗っ取られる可能性

本脆弱性が悪用されると、攻撃者はホストNode.jsプロセスが持つ全ての権限（ファイルシステムの読み書き、新しいプロセスの生成、ネットワークアクセス、機密データへのアクセスなど）で、ホストOS上で任意の操作を実行できるようになります。これは、システムの完全な乗っ取りを意味し、ウェブサイトの改ざん、データの漏洩、他のシステムへの侵入の足がかりとなるなど、極めて深刻な被害につながる可能性があります。

特に、複数のテナントのコードを隔離して実行するマルチテナントサービス（例：ユーザーがカスタムスクリプトを実行できるPaaSなど）においては、単一の攻撃によって、そのワーカープロセス全体とそのプロセスがサービスを提供する全てのテナントが侵害される恐れがあり、事業継続に致命的な影響をもたらすリスクがあります。

今すぐ取るべき対策：最優先はライブラリのアップデート！

本脆弱性に対する最も確実で迅速な対策は、**使用している`vm2`ライブラリを直ちに最新の修正済みバージョンにアップデートすることです。** npmやyarnを使用している場合は、以下のコマンドを実行してください。

```bash npm update vm2 # あるいは yarn upgrade vm2 ```

また、防御的なコーディングとして、サンドボックスに公開されるPromiseのエラーオブジェクト内に、`process`オブジェクトのような機密性の高いホストオブジェクトへの参照が直接含まれないよう、コードレビューと修正を行うことも推奨されます。しかし、この脆弱性の根本原因は`vm2`内部のサニタイズ処理の回避にあるため、**`vm2`自体のアップデートが最重要であることを忘れないでください。**

まとめ

`vm2`のサンドボックス回避脆弱性は、Node.jsアプリケーションに深刻な影響を与える可能性があります。あなたのプロジェクトが`vm2`を使用している場合は、この情報を真摯に受け止め、直ちにライブラリのアップデートを実施してください。セキュリティは開発プロセスの一部であり、このような重要な脆弱性情報には迅速に対応することが、あなたのアプリケーションとユーザーを守ることに繋がります。チーム内でこの情報を共有し、安全な開発環境を維持しましょう。