GitHub desativa scripts de execução automática no npm

O npm v12, previsto para julho de 2026, desativa por padrão os scripts preinstall, install e postinstall, além de prepare em dependências Git, arquivo e link. Também bloqueia por padrão a resolução de dependências via Git (--allow-git=none) e tarballs HTTPS (--allow-remote=none). Essas medidas respondem a ataques reais: em 2025, foram publicados quase 455 mil pacotes maliciosos no npm, incluindo o sequestro de pacotes como debug e chalk (2,6 bilhões de downloads semanais) e o comprometimento do axios em março de 2026. A execução automática de scripts foi identificada como a maior superfície de ataque no ecossistema.

Para manter funcionalidades legítimas, como compilação de módulos nativos com node-gyp ou instalação de ferramentas como Playwright e Electron, os desenvolvedores precisarão usar npm approve-scripts e npm deny-scripts para gerenciar uma lista de permissões explícita no package.json. O npm 11.16.0 já emite avisos antecipados sobre comportamentos que serão bloqueados na v12, ajudando equipes a auditar seus pacotes antes da mudança.

Essa mudança não é só técnica: é uma mudança de paradigma na cadeia de suprimentos JavaScript. O npm passa de um modelo de confiança implícita, onde qualquer pacote pode executar código ao ser instalado, para um modelo de aprovação explícita. Isso reduz drasticamente o risco de injeção de código malicioso durante npm install, mesmo quando o atacante não controla o pacote principal, mas apenas uma dependência transitiva. Como mostram os incidentes recentes, scripts de instalação são o vetor mais explorado para ataques à cadeia de suprimentos, e agora exigirão consentimento explícito do mantenedor do projeto.

Desenvolvedores precisarão revisar seus package.json e workflows CI/CD para garantir que pacotes críticos como puppeteer, electron ou bibliotecas com módulos nativos estejam na lista de permissões. Comandos como npm approve-scripts --allow-scripts-pending ajudam a identificar scripts pendentes. Projetos que usam binding.gyp sem script install explícito também serão afetados, a compilação será bloqueada até que o pacote seja aprovado. Equipes devem atualizar para npm 11.16.0 agora para receber avisos prévios e evitar quebrar builds em julho de 2026.