Node.jsにセキュリティ更新。圧縮処理と接続先の検証を修正

バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-26

Node.js 22・24・26系にセキュリティ更新が公開されています。細工されたBrotli圧縮データによるメモリ破損や、DNS・TLSの接続先検証に関する問題を修正します。最高深刻度は公式分類でHighです。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-26 / 本記事更新：2026-10-26 / 原文確認：2026-10-26。

原文発行：Node.js Project / 原文公表：2026-10-21。

対象と影響

Node.jsで動くWebアプリ、API、社内ツールが確認対象です。外部データの展開や外部サービスへの接続など、問題ごとに必要な条件は異なります。すべてのアプリが同じ経路で侵害されるわけではありません。

自社で確認すること

保守担当へ、稼働中のNode.jsの系列と修正バージョンの適用状況を確認する。

サーバー・コンテナ・自動処理で使うNode.jsの系列を確認する。
22系は22.23.4、24系は24.22.1、26系は26.12.1の修正を含むバージョンへ更新する。
更新後は外部APIへのTLS接続、圧縮データの処理、アプリの起動を確認する。サポート終了系列はサポート中の系列への移行を検討する。

攻撃の流れと防御の確認箇所

外部データ・接続先 → 未更新のNode.js → 圧縮処理・名前検証の不備 → コード実行や情報漏えいのおそれ

防御の確認箇所：アプリが使うNode.jsランタイムの更新

優先度の考え方

対象なら優先確認。公式は最高深刻度をHighと評価。実際の影響は利用APIと入力経路による。この記事は悪用実績を確認した報告ではありません。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

原文で言及されたCVE

タイムラインで関連情報を探す

報告の範囲

原文と確認箇所

公式告知のSecurity releases available、各CVEのAffected系列、Downloads and release details、Impact、Last Updatedを確認。3系列の個別リリースページにも2026-10-21と修正番号が明記されています。原文Last Updated Oct21、3つのリリース本文も2026-10-21。本日10/26の新規発表扱いにはしない。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。