はじめに：フロントエンド開発におけるBrowserslistの重要性

フロントエンド開発に携わる皆さんなら、一度は「Browserslist」という名前を聞いたことがある、あるいは無意識のうちにその恩恵を受けていることでしょう。Browserslistは、ターゲットとするブラウザのリストを定義し、それを基にBabel、Autoprefixer、Stylelintなど、様々なツールがJavaScriptやCSSのトランスパイルやLinterのルールを調整するために利用されています。

しかし、この極めて重要なライブラリに、プロジェクトのビルドプロセスをクラッシュさせ、開発やCI/CDパイプラインを停止させる可能性のある深刻な脆弱性（CVE-2026-73088 / GHSA-73wf-gq98-2v4g）が発見されました。今回の記事では、この脆弱性の詳細と、あなたのプロジェクトへの影響、そして何よりも重要な対策について、日本のフロントエンドエンジニア向けに技術的な視点から深掘りしていきます。

脆弱性の概要：なぜビルドが停止するのか？

この脆弱性は、Browserslistライブラリがカスタム統計情報（通常は `browserslist-stats.json` というファイル名）を読み込む際に発生します。このJSONファイルに含まれるデータが適切に検証されないため、攻撃者が不正なキーを挿入することで、2つの主要な問題を引き起こす可能性があります。

`browserslist-stats.json` に、JavaScriptの組み込みオブジェクトに存在するプロパティ名（例: `toString`）を不正なデータと共に挿入した場合、Browserslistの内部処理で `TypeError` などのエラーが発生し、プログラムが強制終了します。これにより、WebアプリケーションのビルドプロセスやCI/CDパイプライン全体が停止してしまい、開発作業の遅延やリリースの中断に直結します。

さらに悪質なケースとして、`__proto__` というプロパティ名を含むJSONファイルを配置された場合、プログラム内部のJavaScriptオブジェクトのプロトタイプ（継承元）が予期せず書き換えられる可能性があります。これは、単体では直接的な情報漏洩やリモートコード実行につながりにくいものの、他の脆弱性と組み合わせることで、アプリケーションの動作を乗っ取られたり、セキュリティ機構を迂回されるなどの、より深刻な攻撃の足がかりとなる極めて危険な脆弱性です。

攻撃のメカニズム：どのように脆弱性が発現するのか

この問題は、プロジェクトのディレクトリツリー内に不正な `browserslist-stats.json` ファイルが存在するだけで、`browserslist()` 関数が呼ばれるたびに無条件に発生します。例えば、悪意のあるnpmパッケージをインストールしてしまったり、誤ってリポジトリに不正なJSONファイルが紛れ込んでしまったりするだけで、脆弱性が発動する可能性があります。

Browserslistは、カスタム統計情報を読み込む際に、JSONオブジェクトのキーと値をそのまま処理しようとします。このとき、入力値のバリデーションが不十分であるため、上述のようなJavaScriptの組み込みプロパティ名が挿入された場合に、予期せぬ挙動を引き起こすのです。

あなたのプロジェクトは大丈夫？影響を受けるツールたち

「Browserslistを直接使っていないから大丈夫」と考えている方もいるかもしれません。しかし、それは間違いです。Browserslistは、現代のフロントエンド開発において、多くの人気ツールが内部依存として利用しています。そのため、以下のツールを使用しているプロジェクトは全て、この脆弱性の影響を受ける可能性があります。

これらのツールを使用している場合は、たとえ Browserslist を意識していなくても、速やかな対応が求められます。

速やかな対応を！脆弱性への対策

この脆弱性への最も効果的かつ簡単な対策は、**`Browserslist` ライブラリを直ちに最新バージョンにアップデートすること**です。

修正版では、以下の対策が施されており、信頼できないデータが処理される際の安全性が大幅に向上しています。

プロジェクトで使用しているパッケージマネージャーに応じて、以下のコマンドを実行してください。

#### npmの場合

```bash npm update browserslist ```

#### Yarnの場合

```bash yarn upgrade browserslist ```

プロジェクト内でどのバージョンのBrowserslistが使われているか確認するには、`npm ls browserslist` (または `yarn why browserslist`) コマンドが役立ちます。もし依存している別のパッケージが古いバージョンのBrowserslistに固定されている場合は、その依存パッケージ自体のアップデートも検討してください。

まとめ

Browserslistの脆弱性(CVE-2026-73088)は、単なるバグではなく、開発プロセスそのものを停止させる可能性のある深刻な問題です。特に、開発のスピードが求められる現代において、CI/CDパイプラインが停止するリスクは計り知れません。

この脆弱性からプロジェクトを守るため、そして安心・安全なフロントエンド開発を継続するためにも、速やかに Browserslist を最新バージョンにアップデートし、日頃から利用しているライブラリのセキュリティ情報にアンテナを張る習慣をつけましょう。常に最新の情報をキャッチアップし、脆弱性対策を怠らないことが、あなたのプロジェクトとチームを守る上で不可欠です。