はじめに：Node.jsのサンドボックスライブラリvm2とは？

こんにちは、日本のフロントエンドエンジニアの皆さん。今回は、Node.js環境でJavaScriptコードを安全に実行するためのサンドボックスライブラリ「vm2」に関する非常に深刻な脆弱性について解説します。

vm2は、信頼できないコードを隔離された環境で実行する際に広く利用されており、例えばユーザーが提供するカスタムスクリプトの実行環境や、プラグインシステムの構築などに用いられます。しかし、この度、この隔離されたはずのサンドボックスから抜け出し、ホストのNode.jsプロセス全体をクラッシュさせることができる致命的な脆弱性が発見されました。深刻度は'high'とされており、速やかな対応が求められます。

脆弱性の概要 (GHSA-hw58-p9xv-2mjh / CVE-2026-44001)

この脆弱性は、攻撃者がサンドボックス内で特定のJavaScriptコードを実行するだけで、そのプロセスで動作しているアプリケーション全体を強制終了させることが可能であるというものです。これにより、WebサービスやAPIなどが完全に停止する「サービス運用妨害（DoS）攻撃」が発生します。

仮にシステムが自動で再起動するように設定されていたとしても、攻撃者は再起動するたびに繰り返しクラッシュを誘発できるため、サービスを継続的に停止させることが容易になってしまいます。これは、外部からのスクリプト実行を受け付けているWebサービスや、サーバーサイドレンダリング（SSR）環境などでvm2を利用している場合に、特に重大な脅威となります。

技術的な詳細：なぜプロセスがクラッシュするのか？

この脆弱性は、JavaScriptのPromiseの処理本体（executor）内でエラーが発生した際に、そのエラーがサンドボックス内で適切に処理されず、ホスト環境に未処理のまま伝播してしまうことに起因します。

具体的には、攻撃者はサンドボックス内で `Error.name` に `Symbol()` を設定し、その後 `.stack` プロパティにアクセスするコードを作成します。通常、`Error.name`は文字列であるべきですが、`Symbol()`が設定されるとNode.jsの内部で型エラーが発生します。この型エラーが未処理のPromiseの拒否 (unhandled promise rejection) としてプロセス全体に伝播し、結果的にホストのNode.jsプロセスを強制終了させてしまうのです。

以前にもvm2にはPromise関連の脆弱性（CVE-2026-22709）がありましたが、それはPromiseの `.then()` や `.catch()` の部分に関するものでした。今回の脆弱性は、Promiseの処理本体（executor）から直接エラーが伝播する経路が未対処であったため、以前の修正では防ぎきれませんでした。

`allowAsync: false` では防げない！重要な注意点

vm2の設定で `allowAsync: false` を指定している場合でも、この脆弱性に対する防御にはなりません。むしろ状況を悪化させる可能性すらあります。

この設定は、サンドボックス内で `async`/`await` 構文や `.then()`/`.catch()` の呼び出しを制限するだけです。Promise自体を無効にするわけではありません。そのため、Promiseの処理本体内で発生したエラーは依然として処理されず、`.catch()` ハンドラがブロックされていることで、エラーが必ず未処理のPromise拒否としてホスト環境に伝播し、プロセスを強制終了させてしまいます。

影響を受けるアプリケーションと対応策

この脆弱性は、vm2を使用している全てのアプリケーションに影響します。もしあなたのチームがvm2を利用したバックエンドサービスや、サーバーサイドでユーザーコードを実行する仕組みを構築している場合、直ちに対応が必要です。

**最重要かつ唯一の対応策は、この問題が修正されたvm2の最新バージョンへアップデートすることです。**

npmを使っている場合は、以下のコマンドでアップデートできます。

`npm update vm2` または `npm install vm2@latest`

package.jsonのバージョン指定を確認し、メジャーアップデートが必要な場合は、`package-lock.json` や `yarn.lock` を削除してクリーンインストールを行うことも検討してください。

フロントエンドエンジニアとしての意識

「私たちはフロントエンドだから関係ない」と思われた方もいるかもしれません。しかし、現代のWeb開発ではフロントエンドとバックエンドの境界線は曖昧になりつつあり、多くのフロントエンドエンジニアがNode.jsを用いたバックエンドやフルスタック開発にも携わっています。

また、直接vm2を使っていなくても、以下のようなケースでは間接的に影響を受ける可能性があります。

・使用しているフレームワークやライブラリが内部でvm2を利用している場合

・開発環境やCI/CDパイプラインでvm2が使用されている場合

・自社のバックエンドサービスがvm2を使用しており、それが停止することで、フロントエンドのアプリケーションも利用不可能になる場合

サプライチェーン攻撃への対策としても、利用している全ての依存関係に目を光らせることは非常に重要です。常に最新のセキュリティ情報をキャッチアップし、適切な対応を迅速に取れるように準備しておきましょう。

まとめ

vm2ライブラリにおける深刻なDoS脆弱性 (GHSA-hw58-p9xv-2mjh / CVE-2026-44001) は、アプリケーションの可用性を直接脅かすものです。この脆弱性は`allowAsync: false`の設定でも防ぐことができません。vm2を利用している場合は、速やかに脆弱性が修正された最新バージョンへのアップデートを行ってください。

セキュリティは常に進化する脅威との戦いです。最新情報を追いかけ、迅速な対応を心がけましょう。