GitHub refuerza la publicación de npm tras un fallo que dejó más de 1500 paquetes vulnerables a secuestros.

GitHub ha decidido que las configuraciones de publicación de confianza de npm no validadas caduquen 48 horas después de su creación, luego de que investigadores descubrieran que un atacante podía publicar nuevas versiones del paquete de otro usuario sin robar sus credenciales.

"Tu configuración se valida y queda exenta de caducidad tras su primera publicación exitosa", declaró la filial de Microsoft. "Cambiar la identidad del repositorio o proyecto requiere una nueva relación de confianza con un nuevo período de validación de 48 horas; las ediciones habituales no reinician el plazo".

GitHub explicó que este cambio elimina el riesgo asociado a confiar en un repositorio o proyecto cuyo propietario cambia, y añadió que npm también rechazará los tokens de publicación de confianza de los eventos issue_comment de GitHub Actions en adelante, junto con la restricción de pull_request_target existente.

En una actualización de su documentación, GitHub indica que una configuración de publicación de confianza recién creada debe completar su primera publicación exitosa en un plazo de dos días, lo que valida la configuración y la vincula a la "identidad inmutable del repositorio".

Este desarrollo surge a raíz de los hallazgos de Bloom Security, que descubrió una vulnerabilidad en la publicación segura de npm que permitía tomar el control de miles de paquetes y desencadenar un ataque en cascada a la cadena de suministro al estilo Shai-Hulud. Los hallazgos se reportaron a GitHub el 6 de junio de 2026.

"Imaginen esto: un atacante compromete un solo paquete. Un agente de IA en el dispositivo del responsable del mantenimiento de un paquete popular lo descarga automáticamente para un proyecto", explicó el investigador de seguridad Golan Myers. "Ese único punto de acceso se utiliza para distribuir código malicioso al paquete. Todos los usuarios del paquete quedan expuestos. Todo porque una persona con los permisos adecuados quedó expuesta".

La publicación segura se introdujo en npm en julio de 2025 como un método de autenticación sin credenciales que permite a los desarrolladores distribuir paquetes npm desde una plataforma de CI/CD, como GitHub Actions, utilizando tokens OpenID Connect (OIDC).

Cuando se configura la publicación de confianza, el proveedor de CI/CD del desarrollador genera un token criptográfico temporal para una ejecución específica del flujo de trabajo, que el registro de npm verifica con una configuración previamente autorizada.

Esto elimina la necesidad de almacenar, rotar o gestionar manualmente secretos de npm de larga duración, reduciendo el riesgo de filtraciones de credenciales. Además, genera automáticamente certificados de procedencia para los paquetes de npm, lo que permite a los usuarios determinar dónde se compiló un paquete y quién lo publicó, reforzando así la seguridad de la cadena de suministro de software.