本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
Node.jsは2026年10月21日付で、セキュリティ修正版26.12.1、24.22.1、22.23.4を公開した。公式告知に列挙された脆弱性は10件で、今回の最高重要度に当たるHighは4件。Brotli形式の圧縮データを展開する処理で、リモートコード実行につながる問題も含まれる。
Brotliの処理条件と対策の範囲
Brotliデコーダーの脆弱性「CVE-2026-111497」は、26.x、24.x、22.xの3系統に影響する。Node.jsの公式告知は、メモリーの所定の範囲を越えて書き込む「境界外書き込み」により、リモートコード実行につながる問題と説明している。
Vercelによると、影響を受けるのは、アプリケーションや利用ライブラリが攻撃者の制御するBrotliデータを展開する場合だ。Node.jsを動かしているだけで、そのデータが自動的に展開されるわけではない。対象データは、受信リクエストに加え、アプリケーションが外部から取得するレスポンスにも含まれ得る。コードが実行された場合、その権限はNode.jsプロセスの権限になるという。
Vercelは、既知の攻撃パターンに対応するWAFルールを配備し、管理ランタイムへの修正版の展開を進めていると説明する。ただし、WAFの対象は同社ネットワークを通る通信であり、関数が外部サーバーから取得するレスポンスは保護しない。同社は、WAFをランタイム更新の代替としないよう求めている。
ほかのHighと系統別の更新内容
残るHighの3件は、NUL文字を含む名前をdns.resolveが切り詰める「CVE-2026-105482」と、TLS検証を回避する2件だ。TLS関連では、全角数字のIP表記による「CVE-2026-105483」と、IPアドレスとして緩く解釈されるホスト名による「CVE-2026-106069」が修正された。全角数字の問題について、影響対象に列挙されているのは26.xと24.xだ。
告知された10件の内訳は、Highが4件、Mediumが3件、Lowが3件で、影響する系統は脆弱性ごとに異なる。公開時の区分は、26.12.1がCurrent、24.22.1と22.23.4がLTS。依存コンポーネントの更新も含まれ、24.xと22.xではOpenSSLを3.5.9へ、22.xではSQLiteを3.53.4へ更新している。Node.jsは、利用中の系統に対応する修正版への更新を促している。
参考・出典
- Node.js — Wednesday, October 21, 2026 Security Releases
- Node.js — Node.js 26.12.1 (Current)
- Node.js — Node.js 24.22.1 (LTS)
- Node.js — Node.js 22.23.4 (LTS)
- Node.js security advisory: Brotli decoder RCE (CVE-2026-111497)
- Node.js — Branding of Node.js
- Node2Shell: Node.js Brotli vulnerability allows remote code execution (CVE-2026-111497)
