undiciのCVE-2026-109829（7.4）、CVE-2026-109383（7.4）、CVE-2026-87018（7.5）。影響する設定を確認し、6.29.1／7.30.1／8.12.2の該当修正版へ更新。
30秒でわかる / THE SIGNAL
undiciのCVE-2026-109829（7.4）、CVE-2026-109383（7.4）、CVE-2026-87018（7.5）。影響する設定を確認し、6.29.1／7.30.1／8.12.2の該当修正版へ更新。
共有キャッシュとリダイレクト：CVE-2026-109829
undici 7.0.0以上7.30.1未満、8.0.0以上8.12.2未満。オリジンに紐づかないAgentで共有キャッシュとredirect()/cache()インターセプターを特定の順序で組み合わせた場合、異なるオリジンの応答を誤ってキャッシュし、キャッシュ汚染やユーザー間の情報漏洩につながる。修正版は7.30.1／8.12.2。一次情報：https://github.com/nodejs/undici/security/advisories/GHSA-4w7w-5xrc-9h26
独自TLS証明書検証の回避：CVE-2026-109383
undici AgentがTLSオプションをJSON複製する際にcheckServerIdentityなどの関数を落とし、カスタム証明書検証が適用されない問題。影響は4.0.0以上6.29.1未満、7.0.0以上7.30.1未満、8.0.0以上8.12.2未満。修正版は6.29.1／7.30.1／8.12.2。独自の検証関数を使うアプリが対象。一次情報：https://github.com/nodejs/undici/security/advisories/GHSA-2m5v-pch6-74hx
TLS 1.2再ネゴシエーションによるDoS：CVE-2026-87018
悪意あるTLS 1.2サーバーが接続後に証明書を切り替えると、undiciの未捕捉AssertionErrorによりNode.jsプロセスが終了する可能性。影響は4.2.1以上6.29.1未満、7.0.0以上7.30.1未満、8.0.0以上8.12.2未満。修正版は6.29.1／7.30.1／8.12.2。一次情報：https://github.com/nodejs/undici/security/advisories/GHSA-qrxm-fqhp-jwvm
推奨対応と悪用状況
利用中のundici系列を修正版へ更新。共有キャッシュとリダイレクトの組み合わせ、独自TLS検証、外部HTTPS通信を重点点検する。開発元勧告は2026年10月15日公開、GitHub Advisory Databaseへの審査反映は10月27日。実際の悪用確認は一次情報から確認できない。