はじめに：なぜフロントエンドエンジニアも知るべきか？

VM2はNode.jsのサンドボックスライブラリであり、ウェブブラウザで動作するフロントエンドアプリケーションで直接利用されることは通常ありません。しかし、多くのフロントエンドプロジェクトでは、ビルドツール、BFF (Backend For Frontend)、SSR (Server-Side Rendering) 環境、あるいはCI/CDパイプラインなど、様々な局面でNode.jsが活用されています。これらのNode.js環境でVM2が利用されている場合、本脆弱性の影響を受ける可能性があります。特に、ユーザーからの入力を基にコードを生成・実行するようなシステム（例：オンラインコードエディタ、プラグイン実行環境）では、この脆弱性が直接的な脅威となり得ます。自身の関わるNode.js環境が安全であるかを確認するためにも、この情報を理解しておくことが重要です。

脆弱性GHSA-v37h-5mfm-c47c (CVE-2026-24781) の概要

今回報告された脆弱性GHSA-v37h-5mfm-c47c (CVE-2026-24781) は、Node.jsのサンドボックスライブラリVM2に存在する「サンドボックス脱出」という極めて危険なものです。この脆弱性が悪用されると、VM2によって隔離された環境内で実行されたはずのコードが、本来アクセスできないはずのホストシステム上で任意の操作を実行できてしまいます。

脆弱性の深刻度はCriticalと評価されており、リモートコード実行（RCE）の可能性を秘めています。これは攻撃者がサーバー上でファイル作成、機密データの窃取、ネットワーク通信の実行、さらにはサーバーの完全な制御といった「任意のコード実行」を達成できることを意味します。VM2が「信頼できないコードを安全に実行する」という目的のために使われることを考えると、その根幹を揺るがす深刻な事態です。

脆弱性の仕組み：`inspect`メソッドの悪用

VM2は、サンドボックス内のコードがホストの機能に直接アクセスできないよう、「プロキシ」という仕組みを用いて厳重に制御しています。これは、サンドボックスとホストシステム間の安全な境界を保つための重要な機構です。

しかし、Node.jsのオブジェクト検査機能である`inspect`メソッドが、オブジェクトの詳細を調べる際にこのプロキシ制御を不適切に「アンラップ（解除）」してしまうという問題がありました。これにより、攻撃者は本来アクセスできないはずのVM2内部のサンドボックスオブジェクトに直接アクセスできる道を見つけます。この穴を突くことで、サンドボックスのプロキシ制御を迂回し、サンドボックスの外側、つまりホストシステムの機能へ直接干渉できるようになり、サンドボックスを脱出することが可能になります。

影響を受ける条件とリスク

この脆弱性は、VM2サンドボックス内で実行される任意のコード（特に信頼できないユーザーが提供するコードや、外部からロードされるプラグインなど）が存在する場合に悪用される可能性があります。VM2はまさにそのような「信頼できないコード」を安全に実行するために設計されているため、この脆弱性はVM2の存在意義そのものを脅かすものです。

攻撃者は、サンドボックスを脱出することによって、ファイルシステムの操作（ファイルの読み書き、削除）、機密データの窃取（データベースの認証情報、APIキーなど）、ネットワーク通信の実行、さらにはサーバー全体の制御（リモートコード実行、RCE）といった、非常に広範囲かつ深刻な被害を引き起こすことが可能になります。

今すぐ取るべき対応策

この脆弱性への対応は最優先事項です。VM2を使用しているすべてのプロジェクトにおいて、**直ちにVM2ライブラリを最新バージョンにアップデートする**必要があります。アップデートによって、この脆弱性は修正されます。

具体的には、プロジェクトの`package.json`ファイルを確認し、`vm2`が依存関係に含まれていないか、またそのバージョンをチェックしてください。もし含まれている場合は、以下のコマンドで最新版に更新します。

`npm install vm2@latest` または `yarn upgrade vm2 --latest`

一時的な対策として、VM2サンドボックス内で実行されるコードが`inspect`のような危険な機能にアクセスできないよう、より厳格な入力検証や機能制限を設けることも考えられますが、これはあくまで補助的なものであり、根本的な解決にはライブラリのアップデートが不可欠であることを理解してください。

まとめ

Node.jsのサンドボックスライブラリVM2に発見されたCriticalな脆弱性は、サンドボックスを利用する環境において深刻なリモートコード実行（RCE）リスクをもたらします。フロントエンド開発者の皆さんも、自身の関わるNode.js環境（ビルド環境、BFF、SSRなど）におけるVM2の利用状況を確認し、速やかにアップデートを実施してください。ウェブアプリケーションのセキュリティは常に最新の状態を保つことが、ユーザーとサービスの信頼を守る上で極めて重要です。