Vercel passa a bloquear pacotes npm maliciosos antes e durante a instalação nos builds

A Vercel passou a checar pacotes npm bloqueados em dois momentos do build: antes e durante a instalação das dependências. A ideia é impedir que scripts de instalação maliciosos cheguem a rodar. A verificação usa uma blocklist de versões específicas de pacotes, marcadas por conterem malware ou vulnerabilidades de segurança. Novas regras normalmente chegam aos novos builds em poucos minutos.

Antes da instalação, a plataforma confere os lockfiles compatíveis, inclusive quando as dependências são restauradas do cache de build. Durante a instalação, bloqueia downloads afetados do npm público. As checagens que já existiam, sobre as dependências instaladas e os outputs das functions, continuam antes do deploy. Se algo for detectado, o deployment falha, o erro aponta pacote e versão, e a Vercel tenta invalidar o cache de build afetado. Para corrigir: atualizar a dependência para uma versão segura, atualizar o lockfile e fazer o redeploy. Vale para novos builds em todos os planos, sem configuração.

O tema da cadeia de suprimentos npm vem sendo coberto pelo CEVIU. Em 4 de maio de 2026, a matéria "A necessidade de períodos de espera para dependências em um mundo pós-Axios" tratou de comprometimentos como Axios, s1ngularity e as ondas Shai-Hulud. Em 15 de junho de 2026, "GitHub reforça segurança do npm na v12: scripts de instalação desativados por padrão" mostrou a defesa no lado do cliente npm. Agora a Vercel adiciona uma camada no lado da plataforma de build, com blocklist aplicada no lockfile e no download. São iniciativas de empresas diferentes, que se complementam.

Para quem faz deploy na Vercel, isso significa uma proteção que não depende de disciplina individual nem de configuração. Um lockfile com versão comprometida deixa de virar execução de script no build. Em contrapartida, o time precisa estar preparado para builds que falham por dependência bloqueada, mesmo sem mudança de código. Manter o lockfile atualizado e saber ler o erro de pacote e versão passa a fazer parte da rotina.