npm 12 bloqueia scripts de instalação para reforçar segurança
O lançamento do npm 12 marca uma mudança significativa na segurança da cadeia de suprimentos de software, ao desabilitar por padrão a execução automática de scripts durante a instalação de pacotes. Com essa atualização, scripts de ciclo de vida de dependências e builds implícitos só são executados se explicitamente autorizados pelo desenvolvedor, o que reduz drasticamente o risco de ataques via código malicioso embutido em dependências.
Além disso, a nova versão do npm reforça a proteção contra ataques de sequestro de tokens ao descontinuar o uso de granular access tokens (GATs) que permitiam contornar a autenticação em dois fatores (2FA) para operações sensíveis. A partir de agosto de 2026, esses tokens não poderão mais ser usados para gerenciar contas, pacotes ou configurações organizacionais, exigindo que tais ações sejam feitas de forma interativa e autenticada.
Outra mudança relevante é que os GATs perderão a capacidade de publicar pacotes diretamente, restringindo-se apenas à leitura de pacotes privados e ao estágio de publicação, que só se completa após aprovação humana via 2FA. Essa medida, prevista para janeiro de 2027, visa impedir publicações automatizadas sem validação adicional, fortalecendo o controle sobre o que é disponibilizado publicamente.
Essas atualizações refletem uma tendência crescente de endurecimento das práticas de segurança em ferramentas de gerenciamento de pacotes, respondendo a incidentes recentes de ataques à cadeia de suprimentos. Para desenvolvedores, a recomendação é migrar para métodos de publicação mais seguros, como trusted publishing via OIDC ou staged publishing com aprovação manual, garantindo maior proteção dos ecossistemas de software.
Fonte original: thehackernews.com
Acessar publicação original
Resumo editorial criado automaticamente pela Eletrônica Americana com base em fontes internacionais públicas, com finalidade informativa.
Além de se manter informado, você pode aprofundar seus conhecimentos em nossos guias de compra, onde comparamos as melhores opções do mercado para facilitar sua escolha. Para uma análise técnica, confira nossas reviews completas com testes reais de desempenho. E se você está em busca do melhor preço, não deixe de acompanhar nossa seleção de ofertas e descontos atualizados diariamente nas principais lojas.
