はじめに：Node.jsワーカープール `piscina` とは

`piscina` は、Node.js環境でCPU集中型のタスクを効率的に処理するために設計された、高性能なワーカープールライブラリです。メインスレッドをブロックせずに処理を実行できるため、Node.jsバックエンドやBFF (Backend For Frontend) などで利用されているケースも少なくないでしょう。しかしこの度、`piscina` に重大なセキュリティ脆弱性 (CVE-2026-55388 / GHSA-x9g3-xrwr-cwfg) が発見されました。本記事では、この脆弱性の詳細、影響、そしてフロントエンドエンジニアが取るべき対策について解説します。

脆弱性の概要：Prototype PollutionによるRCE

この脆弱性は、Prototype Pollution (プロトタイプ汚染) と呼ばれるJavaScriptの特性を悪用し、結果としてリモートコード実行 (RCE: Remote Code Execution) につながる極めて深刻なものです。攻撃が成功すると、攻撃者が作成した悪意のあるコードが皆さんのサーバー上で実行され、機密情報の窃取やシステム乗っ取りといった最悪のシナリオを引き起こす可能性があります。

なぜ危険なのか？脆弱性のメカニズムを深掘り

`piscina` ライブラリの `Piscina` コンストラクタや `run()` メソッドは、ワーカーとして実行するファイルのパスを `options.filename` オプションで指定します。問題は、この `filename` プロパティの参照方法にあります。

JavaScriptでは、オブジェクトのプロパティにアクセスする際、そのオブジェクト自身にプロパティが存在しない場合、プロトタイプチェーンをさかのぼって探索します。もし何らかの方法で `Object.prototype.filename` が汚染されていた場合、`piscina` は正規の `filename` ではなく、汚染された `Object.prototype.filename` の値を使用してしまいます。

特に危険なのは、`pool.run(task, { signal: ac.signal })` のように、`filename` プロパティを明示的に持たないオブジェクトを `options` として渡した場合です。この時、プロトタイプチェーンがたどられ、`Object.prototype` に仕込まれた悪意のあるファイルパスがワーカーとして読み込まれ、サーバー上で実行されてしまうのです。

攻撃が成立するための2つの条件

このRCE脆弱性が発動するには、以下の2つの条件が同時に満たされる必要があります。

Node.jsアプリケーションの依存関係のどこかに、`Object.prototype` を汚染する可能性のあるライブラリが存在することです。例えば、`lodash` (<4.17.13), `qs` (<6.10.3), `set-value` (<4.1.0) など、多くの古いライブラリやその推移的な依存関係に、この種の脆弱性が含まれている可能性があります。現代のフロントエンド開発では、`npm audit` や `yarn audit` でこうした依存関係のセキュリティ問題を常にチェックすることが重要です。

攻撃者が、実行させたい悪意のある `.mjs` ファイルをサーバー上の既知のファイルシステムパス（例えば、ユーザーアップロード機能、一時ファイル領域の悪用、`node_modules` パスなど）に配置できる状態にあることです。

具体的な影響と深刻度

上記の条件が満たされた場合、そのプロセス内で `pool.run(task, opts)` が呼び出されるたびに、以下のような非常に深刻な影響が発生します。

これは、過去に問題となった `pino` の脆弱性よりもさらに深刻です。`pino` が一度不正モジュールをインポートしてエラーになるのに対し、`piscina` は攻撃者の関数を呼び出し側のデータとともに"毎回"実行するため、情報漏洩や不正操作のリスクが格段に高まります。

影響を受けるバージョンと対策

この脆弱性は、開示時点で最新安定版である `piscina@5.1.4` で検証されており、ワーカープールAPIが安定した3.x、4.x、5.xのすべてのバージョンに影響する可能性が高いとされています。

現時点 (執筆時点) で公式の修正パッチ情報がない場合でも、以下のコードレベルでの対策を検討してください。これは、`options.filename` を読み込む際に、プロトタイプチェーンをたどらないようにするための防御策です。

また、`piscina` に限らず、`options.X` のようにオプションを直接メンバーアクセスで読み込み、その値をワーカーや子プロセス、モジュールの動的ロードに使用している他のライブラリや自作コードがないか、セキュリティ監査を行うことを強く推奨します。

まとめ

`piscina` のPrototype PollutionによるRCE脆弱性は、Node.jsアプリケーションに深刻な影響を及ぼす可能性があります。特にフロントエンドエンジニアの皆さんも、Node.jsバックエンドやビルドプロセスで `piscina` を利用している場合は、速やかに依存関係を棚卸しし、上述の対策を検討してください。最新のセキュリティ情報を常にチェックし、堅牢なアプリケーション開発を心がけましょう。