はじめに：pnpmユーザーは要注意！

皆さん、こんにちは！日々のフロントエンド開発でpnpmを利用している方も多いのではないでしょうか。そのpnpmに、非常に深刻なセキュリティ脆弱性（GHSA-gj8w-mvpf-x27x / CVE-2026-55697）が発見されました。この脆弱性は、悪意のあるリポジトリを扱うだけで、あなたのPCやCI/CD環境で意図しないプログラムが実行される可能性があるというものです。CVSSスコア8.8（高）と評価されており、迅速な対応が求められます。今回は、この脆弱性の詳細と、取るべき対策について解説します。

脆弱性の概要：なぜ危険なのか？

この脆弱性は、pnpmが<code>pnpm-workspace.yaml</code>ファイルを通じて、本来意図しない「インストールエンジン」（例えば<code>pacquet</code>など）をシステムのネイティブバイナリとして実行してしまう点にあります。通常、リポジトリ自身がシステム上で動作するプログラムの選択権を持つべきではありませんが、この脆弱性はその原則を破り、開発者のPCやCI/CD環境で攻撃者が任意のコードを実行できる重大なリスクを生み出します。

具体的な仕組み：悪意あるコードが実行されるまで

pnpmは、<code>pnpm-workspace.yaml</code>に定義された<code>configDependencies</code>（設定に利用する依存関係）を、他のコマンドが実行される前に自動的にインストールします。この脆弱性では、もし悪意のあるリポジトリが<code>configDependencies</code>に<code>pacquet</code>または<code>@pnpm/pacquet</code>を指定した場合、pnpmはこれを特別なインストールエンジンと誤認していました。

その結果、pnpmは、パッケージに含まれるプラットフォーム固有のネイティブバイナリ（例えば、シェルスクリプトなど、PC上で直接動作するプログラム）を、開発者やCIユーザーの権限で直接実行してしまいます。つまり、悪意のあるリポジトリをクローンして<code>pnpm install</code>や関連コマンドを実行するだけで、攻撃者が仕込んだスクリプトがあなたのPCで動作してしまう可能性があったのです。

影響と危険性：どんな被害が起こりうる？

この脆弱性が悪用された場合、以下のような深刻な事態が発生する可能性があります。

<ul><li><strong>任意のコード実行:</strong> 攻撃者は、被害者のPCやCI環境上で、被害者が持つ権限（ファイルシステムへのアクセス、環境変数、npmレジストリやGit/SSHの認証情報、ネットワークアクセスなど）を利用して、望まないプログラムを自由に実行できます。</li><li><strong>情報漏洩・改ざん・システム破壊:</strong> これにより、機密情報の窃取、プロジェクトファイルの改ざん、あるいはシステムそのものの破壊といった、非常に広範囲かつ重大な被害につながる可能性があります。</li></ul>

これは開発環境のセキュリティを根底から揺るがす非常に危険な状況と言えるでしょう。

推奨される対応策：今すぐアップデートを！

この脆弱性への対応は最優先事項です。直ちにpnpmを以下のパッチ適用済みバージョンにアップデートしてください。

<ul><li><strong>影響を受けるバージョン:</strong> パッチが適用されていない現在のメインブランチのバージョン（および関連パッケージ <code>@pnpm/config.reader</code>, <code>@pnpm/installing.commands</code>）。</li><li><strong>パッチ適用済みバージョン:</strong> <code>10.34.2</code>、<code>11.5.3</code></li></ul>

アップデートは以下のコマンドで行えます（環境によって適切なパッケージマネージャを使用してください）：

```bash npm install -g pnpm@latest # または yarn global add pnpm@latest # あるいは corepack enable pnpm ```

パッチ適用後、pnpmには<code>configDependencyInstallEngineAllowlist</code>という新しい設定が導入されました。この設定は、<code>configDependencies</code>から外部のインストールエンジン（例: <code>pacquet</code>）の実行を許可するかどうかを制御するものです。

<strong>重要な点として、この設定はユーザーが信頼できる場所（グローバル設定、CLI設定、環境変数など）からのみ有効にできます。<code>pnpm-workspace.yaml</code>ファイルからはこの許可設定はできなくなりました。</strong>これにより、悪意のあるリポジトリが勝手にネイティブプログラムの実行権限を付与することは不可能になり、セキュリティが大幅に向上しました。

もし、意図的に<code>pacquet</code>をインストールエンジンとして使用したい場合は、上記の信頼できる設定箇所で<code>configDependencyInstallEngineAllowlist</code>に<code>pacquet</code>、<code>@pnpm/pacquet</code>、または<code>*</code>を明示的に指定する必要があります。

まとめ

pnpmのこの脆弱性は、開発環境におけるセキュリティの重要性を改めて浮き彫りにしました。悪意のあるリポジトリからの潜在的な脅威から自身を守るためにも、<strong>今すぐpnpmを最新バージョンにアップデートし、最新のセキュリティ対策を適用することをお勧めします。</strong>

常に使用しているツールやライブラリのセキュリティ情報に注意を払い、安全な開発環境を維持していきましょう。