Der npm-Client bekommt sein größtes Sicherheits-Update seit 16 Jahren. Mit Version 12 reagiert das Projekt auf eine Welle von Angriffen. Ein npm Supply-Chain-Angriff nutzte zuletzt immer wieder dieselbe Schwachstelle: automatisch ausgeführte Install-Skripte. Genau die blockiert npm v12 nun standardmäßig. Für Entwickler ändert sich damit einiges.
Warum der npm Supply-Chain-Angriff so oft funktioniert
Viele npm-Pakete führen beim Installieren eigene Skripte aus. Das ist praktisch, aber gefährlich. Ein einziges kompromittiertes Paket kann so beliebigen Code auf dem Rechner starten. Angreifer missbrauchen diese Funktion seit Jahren. Sie stehlen Zugangsdaten, klinken sich in Build-Prozesse ein oder laden weitere Schadsoftware nach.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die Zahlen sind alarmierend. Allein 2025 veröffentlichten Angreifer rund 455.000 bösartige Open-Source-Pakete. Insgesamt blockierte man bis heute über 1,23 Millionen solcher Pakete. Das ist ein Anstieg von 75 Prozent gegenüber dem Vorjahr.
Was npm v12 konkret ändert
npm v12 dreht die Logik um. Statt alles zu erlauben, gilt künftig ein Allowlist-Modell. Standardmäßig blockiert der Client mehrere riskante Quellen:
- Install-Skripte: Sie laufen nicht mehr automatisch beim Installieren.
- Git-Abhängigkeiten: Direkte Verweise auf Git-Repositories sind blockiert.
- Entfernte Quellen: Pakete aus fremden URLs werden abgewiesen.
Wer ein Skript wirklich braucht, muss es bewusst freigeben. Diese Umkehr ist ein starkes Signal. Das npm-Team räumt damit ein, dass nachträgliches Erkennen nicht mehr ausreicht. Schadpakete tauchen einfach zu schnell auf.
Die Angriffe hinter der Entscheidung
Der Umbau kommt nicht aus dem Nichts. Mehrere spektakuläre Fälle machten Druck. Im März 2026 kaperten Angreifer das npm-Konto des Axios-Maintainers. Die HTTP-Bibliothek hat rund 100 Millionen wöchentliche Downloads. Im Juni 2026 folgte ein Angriff auf das KI-Framework Mastra AI. Dort schleusten die Täter über 140 manipulierte Pakete ein. Auch die Bibliothek node-ipc traf es: Drei bösartige Versionen trugen einen identischen Credential-Stealer.
Mehrere dieser Kampagnen werden staatlichen Akteuren zugerechnet. Das Muster ähnelt anderen Angriffen auf Zugangsdaten, etwa der kürzlich beschriebenen Langflow Sicherheitslücke. Immer geht es darum, Secrets aus Entwickler-Umgebungen zu ziehen.
Das solltest du jetzt tun
Der Wechsel auf npm v12 lohnt sich, sobald das Update verfügbar ist. Bis dahin helfen bewährte Maßnahmen. Prüfe Abhängigkeiten kritisch und halte sie schlank. Nutze Lockfiles und feste Versionen. Deaktiviere Install-Skripte, wo es möglich ist. Und aktiviere Zwei-Faktor-Schutz für deine eigenen npm-Konten.
Wer beruflich viel entwickelt, profitiert außerdem von einem sauberen, gut abgesicherten Setup. Passende Empfehlungen findest du in unserem Ratgeber zu Laptops für Entwickler.
Fazit
npm v12 ist eine überfällige Kurskorrektur. Der npm Supply-Chain-Angriff über Install-Skripte verliert damit sein wichtigstes Werkzeug. Sicherer wird die Kette dadurch nicht von allein. Doch der Standard schützt künftig auch jene, die nicht jeden Tag an Sicherheit denken. Das ist ein echter Fortschritt für das gesamte Open-Source-Ökosystem.
Quellen
- TechTimes: npm v12 Ships This Month, Blocking Install Scripts
- Microsoft Security Blog: Malicious npm packages abuse dependency confusion
- StepSecurity: node-ipc npm Supply Chain Attack
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden