Node.js向けAPMトレーサー「dd-trace」で、HTTPリクエストのURLクエリ文字列を秘匿化する正規表現にReDoS脆弱性が確認された。CVE-2026-116693はHIGH（CVSS 8.7）。攻撃者が制御する入力によってCPUを長時間占有し、Webサービスの応答停止につながる恐れがある。開発元は5.131.1と6.20.1で修正済みだ。
30秒でわかる / THE SIGNAL
Node.js向けAPMトレーサー「dd-trace」で、HTTPリクエストのURLクエリ文字列を秘匿化する正規表現にReDoS脆弱性が確認された。CVE-2026-116693はHIGH（CVSS 8.7）。攻撃者が制御する入力によってCPUを長時間占有し、Webサービスの応答停止につながる恐れがある。開発元は5.131.1と6.20.1で修正済みだ。
監視用のURL秘匿化処理がDoSの入口に
Datadogが2026年10月8日に公表したGHSA-x94g-w73q-hpcwは、Node.js用トレーサー「dd-trace」のクエリ文字列秘匿化処理に関する脆弱性を説明している。URLのクエリ部分に含まれるパスワードやトークン等の情報をトレース記録から隠すための既定の正規表現が、特定の入力で過剰なバックトラッキングを起こす。処理は同期的に行われるため、攻撃者が制御できるURLクエリ文字列を対象のHTTPトレース統合が処理すると、リクエスト遅延やサービス拒否（DoS）につながる可能性がある。
影響するのはdd-traceの特定バージョンとHTTP統合
GitHub Advisory Databaseは、影響範囲をnpmパッケージdd-traceの2.0.0以上5.131.1未満、および6.0.0以上6.20.1未満としている。開発元の勧告では、クエリ文字列をURLのspanタグに含める影響対象のHTTP tracing統合で、問題の処理が既定で有効になると説明する。Node.js本体の脆弱性ではなく、dd-traceを導入したすべての構成が無条件に攻撃可能という意味でもない。GitHubはCVSS v4.0基本値8.7、HIGHと評価している。
修正版は5.131.1と6.20.1
開発元のリリースノートは、dd-trace 5.131.1と6.20.1で既定のクエリ文字列秘匿化用正規表現を更新し、GHSA-x94g-w73q-hpcwに対処したと明記している。利用中のメジャー系列に対応する修正版以上へ更新するのが基本だ。直ちに更新できない場合、公式勧告には環境変数 `DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP` に修正済みの正規表現を指定し、アプリケーションを再起動する暫定策が示されている。長い設定値の転記ミスを避けるため、必ず公式勧告を参照する。
WORK SIGNALの視点：可観測性の部品も攻撃面になる
アプリケーションの監視やトレースは、障害対応のために常時有効化されることが多い。しかし今回の問題は、監視用のURL処理が攻撃者入力に触れ、Node.jsプロセスの可用性に影響し得ることを示す。運用担当者はアプリ本体の依存関係だけでなく、APMエージェントや自動計測ライブラリも更新対象として棚卸ししたい。開発元の勧告は実環境での悪用を確認したとは記していない。2026年10月8日に修正済みの事案であり、10月29日の新規ゼロデイとして扱うべきではない。