Node.jsが10件の脆弱性を修正。Brotliのリモートコード実行につながる問題などHighが4件。自社のシステムで使っているか、修正版へ更新できるか、委託先へ何を確認すべきかを整理する。
30秒でわかる / THE SIGNAL
Node.jsの22.x、24.x、26.x向けにセキュリティ更新が公開された。10件の脆弱性のうち4件はHigh。修正版は22.23.4、24.22.1、26.12.1。まずは利用有無と実行中のバージョンを確認し、影響評価と更新計画を管理者・開発会社に依頼したい。
何が起きた？ 3系統で10件の脆弱性を修正
Node.jsプロジェクトは2026年10月21日、22.x、24.x、26.xのセキュリティ更新を公開した。公表された脆弱性は計10件で、深刻度はHighが4件、Mediumが3件、Lowが3件。すべての脆弱性が全バージョンに影響するわけではない。
修正版はNode.js 22.23.4（LTS）、24.22.1（LTS）、26.12.1（Current）。Node.jsはWebサービスのサーバー処理やAPI、開発ツールなどで使われるJavaScript実行環境だ。Webサイトを閲覧しているだけの利用者が、直ちに同じ脆弱性の影響を受けるという意味ではない。
なぜ重要？ コード実行や通信の信頼性に関わる問題も
特に注意したいのは、Brotliデコーダーの範囲外書き込みによりリモートコード実行につながり得るCVE-2026-111497（High）。22.x、24.x、26.xの3系統に影響する。ほかにも、TLS証明書のホスト名検証を回避し得る問題やDNS名の扱いに関する問題が修正された。
ただし、脆弱性が公表されたことと、あらゆるNode.jsサービスが外部から直ちに攻撃可能であることは別だ。悪用の成立条件や実際の露出範囲はアプリケーション構成に依存する。公式発表だけから個々の企業の被害発生を断定することはできない。
確認① 自社システムでNode.jsを使っているか
まずWebサイト、予約・問い合わせシステム、社内業務アプリ、API、バッチ処理などを棚卸しする。Node.jsをサーバーで実行しているのか、開発・ビルド工程でだけ使っているのかも区別したい。
自社開発なら運用担当者に本番環境と開発環境のバージョンを確認する。外部委託なら制作会社や保守会社に「Node.jsの利用有無と利用箇所」を問い合わせる。Webサイトが存在するというだけでNode.js利用を決めつけないことが重要だ。
確認② 修正版とサポート状況を照合する
対象系統の修正版は22.23.4、24.22.1、26.12.1。運用中のバージョンと比較し、更新可能かを確認する。サポート終了版を使っている場合は、単純なパッチ適用では済まないことがあるため、移行計画も必要だ。
更新前には依存パッケージやフレームワークとの互換性、テスト、バックアップ、ロールバック方法を確認する。更新作業後は再起動の要否や稼働中プロセスが新しいバージョンを使用しているかまで確認したい。
確認③ 管理者・委託先に聞くべきこと
技術に詳しくない担当者でも、次の3点は確認できる。
1．当社の本番環境や業務システムでNode.jsを利用していますか。対象バージョンですか。
2．今回の10件のうち、当社の構成で影響を受ける可能性があるものは何ですか。
3．修正版への更新予定日、動作確認の方法、更新後の確認結果を共有できますか。
「更新してください」で終わらせず、担当者・期限・確認結果まで残すことが大切だ。
今回の発表で分かること、まだ分からないこと
公式発表から確認できるのは、影響するリリース系統、修正対象の脆弱性、深刻度、修正版の公開状況だ。一方、個別サービスでの悪用可能性や攻撃経路、被害の有無は構成によって異なる。一般の利用者が個別のサイトを見ただけで、Node.jsの更新状況を判断することもできない。
公式情報：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases