eslint-config-prettier の改ざん版にマルウェア混入（悪用確認済み）

High（CVSS 7.5）に分類されるPrettier eslint-config-prettierの脆弱性です。npm パッケージ eslint-config-prettier の 8.10.1、9.1.1、10.1.6、10.1.7 に、サプライチェーン侵害による悪意あるコードが埋め込まれていた。影響版をインストールすると install.js が実行され、Windows 上で node-gyp.dll というマルウェアが起動する。つまりビルドやローカル開発で npm install した時点で発火する種類の問題であり、アプリの実行時ではなく依存の取得時が攻撃面になる。NVD の CPE には同じ事象で影響を受けたものとして eslint-plugin-prettier の 4.2.2 と 4.2.3、synckit 0.11.9、@pkgr/core 0.2.8、got-fetch 5.1.1 と 5.1.2、napi-postinstall 0.3.1、および Homarr の 1.29.0 以上 1.30.0 未満も列挙されている。CVSS は CNA の MITRE による 7.5 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N）のみで、NVD 自身の Primary スコアは付与されていない。参照には Windows 限定である点を整理した第三者の解説も登録されている。CISA KEV には 2026-01-22 に収載され、是正期限は 2026-02-12。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は版が一致するかどうかの単純な照合で、影響版が明確なので機械的に処理できる。各リポジトリの package-lock.json、yarn.lock、pnpm-lock.yaml を横断して eslint-config-prettier の 8.10.1 / 9.1.1 / 10.1.6 / 10.1.7、eslint-plugin-prettier の 4.2.2 / 4.2.3、synckit 0.11.9、@pkgr/core 0.2.8、got-fetch 5.1.1 / 5.1.2、napi-postinstall 0.3.1 を検索する。npm ls での確認でも構わないが、直接依存でないことが多いので推移的依存まで辿ることが重要である。見落としやすいのは、リポジトリよりも取得物が残っている場所で、CI の依存キャッシュ、コンテナイメージの node_modules レイヤ、社内のレジストリプロキシやミラー（キャッシュした改ざん版の tarball が残る）、開発者端末のグローバルキャッシュが該当する。マルウェア本体は Windows 上で動くものなので、実害の中心は Windows の開発者端末と Windows ベースの CI ランナーであり、そこでは node-gyp.dll の存在や不審なプロセス・通信の痕跡確認が必要になる。Linux のビルドでも改ざん版そのものは取り込まれているため、除去は同じく必要である。対応は影響版を lockfile から排除し、影響を受けていない版へ入れ替えることだが、どの版が健全かは npm のバージョン一覧など公式の情報で要確認とし、当てずっぽうに近い版を選ばない。KEV 是正期限 2026-02-12 は既に過ぎているため、影響版がまだ残っているなら期限超過として扱う。完了条件は、全リポジトリとキャッシュ・イメージ・レジストリミラーから影響版が消えていること、Windows 環境で実行痕跡が無いことを確認し、影響版を取り込んだ環境で使っていたトークンや資格情報を再発行するところまでである。

Prettier eslint-config-prettier を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-54313）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。