npm と GitHub Actions のサプライチェーン攻撃対策を強化

記事の3ポイント

1. 1

   npm における高影響アカウント保護機能の導入

   2026 年 6 月より、メールアドレス変更や 2FA リカバリーコード使用時に高影響アカウントを 72 時間読み取り専用モードに切り替える機能が実装される。

2. 2

   GitHub Actions のプルリクエストターゲットデフォルト変更

   フォークからの信頼できないコードのチェックアウトを防ぐため、actions/checkout のデフォルト動作が変更され、明示的なオプトアウトが必要となる。

3. 3

   サプライチェーン攻撃の連鎖を断つ包括的アプローチ

   単一のセキュリティ機能ではなく、初期侵害から特権昇格、拡散に至る攻撃連鎖の主要なリンクを切断する複数の改善策を同時に展開している。