eslint-config-prettier の脆弱性（CVE-2025-54313）

何が起きた

プログラムの書き方をそろえる道具に使われる npm のパッケージ eslint-config-prettier の一部のバージョンに、悪意のあるプログラムが仕込まれていました（サプライチェーン攻撃）。該当するパッケージをインストールすると、install.js というファイルが動き、Windows では node-gyp.dll というマルウェアが起動します。開発元の担当者は、フィッシングのメールで npm のトークンが盗まれたことが原因だと説明しています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

eslint-config-prettier の 8.10.1、9.1.1、10.1.6、10.1.7 をインストールした開発者や、それを使う開発の環境が対象です。マルウェアが起動するのは Windows の環境とされています。

何をすればいい

npm の記録では、問題のバージョンは取り下げられ、そのあとに 10.1.8、9.1.2、8.10.2 が新しく公開されています。使っている eslint-config-prettier が問題のバージョンでないか確かめ、新しく公開されたバージョンに入れ替えてください。CISA と NVD の説明では、問題のバージョンをインストールしただけで、Windows では node-gyp.dll というマルウェアが起動します。そのため、問題のバージョンを入れた Windows の端末では、すでにマルウェアが動いた可能性があります。あわせて公式の案内を確認してください。

やることチェックリスト

• 8.10.1 などの問題の版の有無を確認する
• 10.1.8、9.1.2、8.10.2 のいずれかに更新する
• 問題の版を入れた Windows の環境を特定する

用語メモ

npm

JavaScript のプログラムの部品（パッケージ）を配布したり、インストールしたりする仕組みです。

サプライチェーン攻撃

製品そのものではなく、その材料となる部品や配布の仕組みに悪意のあるものを紛れ込ませる攻撃です。

マルウェア

コンピューターに害を与える目的で作られた悪意のあるプログラムの総称です。

フィッシング

本物そっくりのメールやサイトでだまし、パスワードなどの大事な情報を盗む手口です。