【GitHubから突然メール】globの脆弱性ってなに？

「GitHubから突然、globの脆弱性メールが届いたけど…これ何？」
「globってそもそも何をしているライブラリ？」

この記事でわかることは下記のとおり。

この記事では、下記の情報をもとに「globの脆弱性と対処法」を解説します。

結論から言うと、今回のglob脆弱性は「npmパッケージのglob」が対象で、適切にアップデートすれば解決します。

UNIXコマンドのglob自体が危険という話ではありません。

この記事を読めば、 「この警告は無視していいのか？」「どこをどう直せばいいのか？」と悩むことはなくなります。

依存関係にglobが含まれていても、安全な状態に自信をもってアップデートできるようになるでしょう。

GitHubからの脆弱性報告

ある日、GitHubから以下のようなメールが届きました。

翻訳すると下記のようになります。

あなたの GitHub アカウント内の 1 つのリポジトリが、glob で見つかったセキュリティ脆弱性の影響を受けている可能性があります。

glob CLI：-c／--cmd オプションでコマンドインジェクション、マッチしたファイル名を shell: true で実行してしまう脆弱性

globとは？

簡単に言うと 、globとは「ファイル名をパターン（ワイルドカード）でまとめて扱う仕組み／ツール」です。

*.js や **/*.md のようなパターンで ファイルやディレクトリを一括で探す仕組みです。

npmの glob パッケージは何をするもの？

Node.js 向けにこの glob の仕組みを JavaScriptから使えるようにした定番ライブラリが存在します。

npmでインストールしたあと、以下のようにimportすれば使えるでしょう。

import { glob } from "glob";

import { glob } from "glob";

今回の問題は、このNode.js向けのglobパッケージにコマンドインジェクションの脆弱性が見つかったというものです。

どんな問題？

問題の詳細は下記のURLから。

GitHub

CVE-2025-64756 - GitHub Advisory Database glob CLI: Command injection via -c/--cmd executes matches with shell:true

要約すると、globでコマンドインジェクション^[1]が発生する問題です。

コマンドインジェクションとは、外部からの入力を介して不正にOSコマンドが実行されてしまう脆弱性です。

今回の問題では、本来は“データ”として扱うはずのファイル名などの文字列が、プログラムの想定を超えて“コマンドとして実行”されてしまいます。

具体的には以下のようなコマンドが問題視されています。

ファイル名がそのまま shell に渡される実装だったため、今回の「コマンドインジェクション」脆弱性が発生しました。

問題が起きるglobのバージョン

今回問題があるバージョンは、

です。安全なバージョンは、

となります。

globのバージョン確認

npm ls globでバージョンがわかります。

> npm ls glob  
vscode-markdown-clip@1.0.7 C:\Users\user\github\vscode-markdown-clip
└─┬ @vscode/test-cli@0.0.12
  ├─┬ c8@10.1.3
  │ └─┬ test-exclude@7.0.1
  │   └── glob@10.3.0 deduped
  ├── glob@10.3.0
  └─┬ mocha@11.7.5
    └── glob@10.3.0 deduped

> npm ls glob  
vscode-markdown-clip@1.0.7 C:\Users\user\github\vscode-markdown-clip
└─┬ @vscode/test-cli@0.0.12
  ├─┬ c8@10.1.3
  │ └─┬ test-exclude@7.0.1
  │   └── glob@10.3.0 deduped
  ├── glob@10.3.0
  └─┬ mocha@11.7.5
    └── glob@10.3.0 deduped

このようにglobが問題あるバージョンの範囲内でした。そのため、バージョン修正が必要となります。

問題解決方法～バージョン修正～

脆弱性問題を解決するために、globのバージョンを修正しましょう。

バージョンを修正するには2つのステップが必要です。

1. ncu -uでpackage.json更新
2. npm installでインストール

ncuでpackage.jsonを更新

npm-check-updatesを使うと、package.jsonのバージョン更新ができる。

npm install -g npm-check-updates

npm install -g npm-check-updates

ncu単体だとアップデート情報の確認のみなので、オプション-uをつけることで、package.json が更新される。
ただし、インストールは一切しない。

> ncu -u
Upgrading C:\Users\user\github\vscode-markdown-clip\package.json
[====================] 10/10 100%

 @types/mocha           ^10.0.6  →  ^10.0.10
 @types/node               18.x  →      25.x
 @types/vscode          ^1.95.0  →  ^1.107.0
 @vscode/test-cli        ^0.0.4  →   ^0.0.12
 @vscode/test-electron   ^2.3.8  →    ^2.5.2
 copy-paste              ^1.5.3  →    ^2.2.0
 eslint                 ^8.56.0  →   ^9.39.2
 markdown-it-attrs       ^4.2.0  →    ^4.3.1
 typescript              ^5.3.3  →    ^5.9.3

> ncu -u
Upgrading C:\Users\user\github\vscode-markdown-clip\package.json
[====================] 10/10 100%

 @types/mocha           ^10.0.6  →  ^10.0.10
 @types/node               18.x  →      25.x
 @types/vscode          ^1.95.0  →  ^1.107.0
 @vscode/test-cli        ^0.0.4  →   ^0.0.12
 @vscode/test-electron   ^2.3.8  →    ^2.5.2
 copy-paste              ^1.5.3  →    ^2.2.0
 eslint                 ^8.56.0  →   ^9.39.2
 markdown-it-attrs       ^4.2.0  →    ^4.3.1
 typescript              ^5.3.3  →    ^5.9.3

npm install でパッケージを更新

あとは、npm install を実行すると更新されています。

npm ls globで確認してみましょう。

> npm ls glob
vscode-markdown-clip@1.0.7 C:\Users\user\github\vscode-markdown-clip
└─┬ @vscode/test-cli@0.0.12
  ├─┬ c8@10.1.3
  │ └─┬ test-exclude@7.0.1
  │   └── glob@10.5.0 deduped
  ├── glob@10.5.0
  └─┬ mocha@11.7.5
    └── glob@10.5.0 deduped

> npm ls glob
vscode-markdown-clip@1.0.7 C:\Users\user\github\vscode-markdown-clip
└─┬ @vscode/test-cli@0.0.12
  ├─┬ c8@10.1.3
  │ └─┬ test-exclude@7.0.1
  │   └── glob@10.5.0 deduped
  ├── glob@10.5.0
  └─┬ mocha@11.7.5
    └── glob@10.5.0 deduped

無事globが安全なバージョンに更新されました。

よくある質問

まとめ

この記事では、glob（npmパッケージ）の脆弱性とその対応方法についてまとめました。

今回の記事では、GitHubからの脆弱性通知をきっかけに、globとは何か、どのような問題があったのか、影響を受けるバージョン範囲、そして具体的な解決手順までを順を追って解説しました。

問題のあるglobには、-c / --cmd オプションを使った場合、マッチしたファイル名を shell: true の状態で外部コマンドとして実行してしまう実装が含まれていました。

そのため本来は単なる文字列として扱われるべきファイル名が、意図せず OS コマンドとして解釈・実行されてしまいます。

結果として ファイル名を経由したOSコマンドインジェクションが発生する可能性がありました。

これが、今回の脆弱性の概要です。