{"id":1481,"date":"2026-07-09T17:43:23","date_gmt":"2026-07-09T17:43:23","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/09\/npm-12-deshabilita-la-instalacion-de-scripts-de-forma-predeterminada-para-reducir-el-riesgo-de-la-cadena-de-suministro-cyberdefensa-mx\/"},"modified":"2026-07-09T17:43:23","modified_gmt":"2026-07-09T17:43:23","slug":"npm-12-deshabilita-la-instalacion-de-scripts-de-forma-predeterminada-para-reducir-el-riesgo-de-la-cadena-de-suministro-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/09\/npm-12-deshabilita-la-instalacion-de-scripts-de-forma-predeterminada-para-reducir-el-riesgo-de-la-cadena-de-suministro-cyberdefensa-mx\/","title":{"rendered":"npm 12 deshabilita la instalaci\u00f3n de scripts de forma predeterminada para reducir el riesgo de la cadena de suministro \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>GitHub tiene oficialmente <a href=\"https:\/\/github.blog\/changelog\/2026-07-08-npm-install-time-security-and-gat-bypass2fa-deprecation\/\" target=\"_blank\">anunciado<\/a> el lanzamiento de npm versi\u00f3n 12 con los scripts de instalaci\u00f3n deshabilitados de forma predeterminada, junto con los tokens de acceso granular (GAT) en desuso dise\u00f1ados para evitar la autenticaci\u00f3n de dos factores (2FA).<\/p>\n<p>La subsidiaria propiedad de Microsoft se\u00f1al\u00f3 que los siguientes comportamientos de instalaci\u00f3n de npm que sol\u00edan ejecutarse autom\u00e1ticamente antes se han habilitado:<\/p>\n<ul>\n<li>El valor predeterminado de enableScripts est\u00e1 desactivado, lo que significa que los scripts del ciclo de vida de la dependencia (es decir, preinstalaci\u00f3n, instalaci\u00f3n, postinstalaci\u00f3n) y las compilaciones impl\u00edcitas de node-gyp ya no se ejecutan a menos que se permitan expl\u00edcitamente.<\/li>\n<li>\u2013allow-git tiene el valor predeterminado none, lo que significa que \u2013allow-git tiene el valor predeterminado none: las dependencias de Git (directas o transitivas) ya no se resuelven a menos que se permitan expl\u00edcitamente.<\/li>\n<li>\u2013allow-remote tiene el valor predeterminado none, lo que significa que las dependencias de URL remotas (por ejemplo, archivos tar https) ya no se resuelven a menos que se permitan expl\u00edcitamente.<\/li>\n<\/ul>\n<p>Para revisar y aprobar scripts confiables, ahora los usuarios deben ejecutar: \u00abnpm aprobar-scripts \u2013allow-scripts-pending\u00bb y luego confirmar la lista de permitidos resultante en el archivo \u00abpackage.json\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Vale la pena se\u00f1alar que estos cambios se obtuvieron una vista previa el mes pasado, y GitHub recomend\u00f3 a los desarrolladores actualizar a npm 11.16.0 o m\u00e1s reciente, ejecutar el comando de instalaci\u00f3n normal y revisar las advertencias mostradas.<\/p>\n<p>La \u00faltima versi\u00f3n de npm tambi\u00e9n introduce dos nuevos cambios:<\/p>\n<ul>\n<li>Los GAT de npm configurados para omitir 2FA ya no podr\u00e1n realizar acciones confidenciales de administraci\u00f3n de cuentas, paquetes y organizaciones. Esto incluye crear o eliminar tokens, generar c\u00f3digos de recuperaci\u00f3n y cambiar la contrase\u00f1a de la cuenta npm, el correo electr\u00f3nico, el perfil o la configuraci\u00f3n 2FA, cambiar el acceso a los paquetes, los mantenedores o la configuraci\u00f3n de publicaci\u00f3n confiable, y administrar la membres\u00eda de la organizaci\u00f3n y el equipo, as\u00ed como sus concesiones de paquetes.<\/li>\n<li>Los GAT de npm ya no conservar\u00e1n la capacidad de publicar directamente. Su superficie de publicaci\u00f3n se limitar\u00e1 a leer paquetes privados y realizar una publicaci\u00f3n, donde un paquete solo se vuelve p\u00fablico despu\u00e9s de la aprobaci\u00f3n humana de 2FA.<\/li>\n<\/ul>\n<p>Se espera que el primero de los dos cambios entre en vigor a principios de agosto de 2026. Mientras tanto, se recomienda dejar de usar tokens de derivaci\u00f3n de 2FA para las operaciones antes mencionadas y realizarlas de forma interactiva con 2FA. El segundo cambio est\u00e1 previsto para enero de 2027.<\/p>\n<p>\u00abPara prepararse, planee trasladar la publicaci\u00f3n automatizada a una publicaci\u00f3n confiable (OIDC) o una publicaci\u00f3n por etapas con un paso de aprobaci\u00f3n humana, en lugar de un token de publicaci\u00f3n de larga duraci\u00f3n\u00bb, dijo GitHub.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/sygnia-cyber-response-d-2\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhr7HGzx4ULDSqwnN820pPGxlPxqqVxKgIrI5II1iWdspOL6yHZsdB5lWoXU3LmhIU4dtnph89fLZ0CxrQSs-ufs6Mo4eD-d-Cpx-DsV1G15eC-phLACF7hyaKSIH1zIdj3AuD7lHSHnVelmKVMoVV-_zvtJuodsSIDKu6uSRfU6fZBkO-2PERqKSfIn6dA\/s728-e100\/sygnia-d-2.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El desarrollo llega como pnpm 11.10. <a href=\"https:\/\/pnpm.io\/blog\/releases\/11.10\" target=\"_blank\">presenta<\/a> una nueva configuraci\u00f3n \u00ab_auth\u00bb para configurar la autenticaci\u00f3n del registro como un valor \u00fanico estructurado con clave URL.<\/p>\n<p>\u00abEl beneficio de seguridad es que la credencial y el host al que pertenece viajan juntos, y pnpm lee _auth solo desde el entorno o la configuraci\u00f3n global, nunca desde los archivos de un proyecto\u00bb, Socket <a href=\"https:\/\/socket.dev\/blog\/pnpm-11-1-hardens-registry-authentication\" target=\"_blank\">explicado<\/a>.<\/p>\n<p>\u00abEso significa que un pnpm-workspace.yaml o .npmrc malicioso o comprometido dentro de un repositorio no puede apuntar un token v\u00e1lido a un host diferente. Un archivo de proyecto manipulado es una forma com\u00fan en que los atacantes consiguen un punto de apoyo, y redirigir un token de registro es una ruta directa para robarlo, por lo que cerrar esa ruta elimina la exposici\u00f3n\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>GitHub tiene oficialmente anunciado el lanzamiento de npm versi\u00f3n 12 con los scripts de instalaci\u00f3n deshabilitados de forma predeterminada, junto con los tokens de acceso granular (GAT) en desuso dise\u00f1ados para evitar la autenticaci\u00f3n de dos factores (2FA). La subsidiaria propiedad de Microsoft se\u00f1al\u00f3 que los siguientes comportamientos de instalaci\u00f3n de npm que sol\u00edan ejecutarse [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[249,24,3200,2246,2700,277,36,2429,1103,247,2696,250],"class_list":["post-1481","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-cadena","tag-cyberdefensa-mx","tag-deshabilita","tag-forma","tag-instalacion","tag-npm","tag-para","tag-predeterminada","tag-reducir","tag-riesgo","tag-scripts","tag-suministro"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1481","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1481"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1481\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1481"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1481"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1481"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}