最近の脆弱性 › CVE-2025-54313

Prettier eslint-config-prettier の脆弱性（CVE-2025-54313）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-54313
製品	Prettier eslint-config-prettier
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N`
KEVへの追加日	2026-01-22
米国政府機関の対応期限	2026-02-12
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-506

何が起きた

プログラムの書き方をそろえる道具に使われる npm のパッケージ eslint-config-prettier の一部のバージョンに、悪意のあるプログラムが仕込まれていました（サプライチェーン攻撃）。該当するパッケージをインストールすると、install.js というファイルが動き、Windows では node-gyp.dll というマルウェアが起動します。開発元の担当者は、フィッシングのメールで npm のトークンが盗まれたことが原因だと説明しています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

eslint-config-prettier の 8.10.1、9.1.1、10.1.6、10.1.7 をインストールした開発者や、それを使う開発の環境が対象です。マルウェアが起動するのは Windows の環境とされています。

何をすればいい

npm の記録では、問題のバージョンは取り下げられ、そのあとに 10.1.8、9.1.2、8.10.2 が新しく公開されています。使っている eslint-config-prettier が問題のバージョンでないか確かめ、新しく公開されたバージョンに入れ替えてください。あわせて公式の案内を確認してください。

やることチェックリスト

8.10.1 などの問題の版の有無を確認する
10.1.8、9.1.2、8.10.2 のいずれかに更新する
問題の版を入れた Windows の環境を特定する

用語メモ

npm: JavaScript のプログラムの部品（パッケージ）を配布したり、インストールしたりする仕組みです。
サプライチェーン攻撃: 製品そのものではなく、その材料となる部品や配布の仕組みに悪意のあるものを紛れ込ませる攻撃です。
マルウェア: コンピューターに害を与える目的で作られた悪意のあるプログラムの総称です。
フィッシング: 本物そっくりのメールやサイトでだまし、パスワードなどの大事な情報を盗む手口です。

元データ（英語・CISA KEV より）

Prettier eslint-config-prettier Embedded Malicious Code Vulnerability

概要

Prettier eslint-config-prettier contains an embedded malicious code vulnerability. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.