# Node.jsにセキュリティ更新。圧縮処理と接続先の検証を修正

Canonical: https://security.qutori.jp/article/nodejs-oct2026-security.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-26

Node.js 22・24・26系にセキュリティ更新が公開されています。細工されたBrotli圧縮データによるメモリ破損や、DNS・TLSの接続先検証に関する問題を修正します。最高深刻度は公式分類でHighです。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-26 / 本記事更新：2026-10-26 / 原文確認：2026-10-26。

原文発行：Node.js Project / 原文公表：2026-10-21。

## 対象と影響

Node.jsで動くWebアプリ、API、社内ツールが確認対象です。外部データの展開や外部サービスへの接続など、問題ごとに必要な条件は異なります。すべてのアプリが同じ経路で侵害されるわけではありません。

## 自社で確認すること

保守担当へ、稼働中のNode.jsの系列と修正バージョンの適用状況を確認する。

1. サーバー・コンテナ・自動処理で使うNode.jsの系列を確認する。
2. 22系は22.23.4、24系は24.22.1、26系は26.12.1の修正を含むバージョンへ更新する。
3. 更新後は外部APIへのTLS接続、圧縮データの処理、アプリの起動を確認する。サポート終了系列はサポート中の系列への移行を検討する。

## 攻撃の流れと防御の確認箇所

外部データ・接続先 → 未更新のNode.js → 圧縮処理・名前検証の不備 → コード実行や情報漏えいのおそれ

防御の確認箇所：アプリが使うNode.jsランタイムの更新

## 優先度の考え方

対象なら優先確認。公式は最高深刻度をHighと評価。実際の影響は利用APIと入力経路による。この記事は悪用実績を確認した報告ではありません。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-105482](https://www.cve.org/CVERecord?id=CVE-2026-105482)
- [CVE-2026-105483](https://www.cve.org/CVERecord?id=CVE-2026-105483)
- [CVE-2026-106069](https://www.cve.org/CVERecord?id=CVE-2026-106069)
- [CVE-2026-111497](https://www.cve.org/CVERecord?id=CVE-2026-111497)
- [CVE-2026-105481](https://www.cve.org/CVERecord?id=CVE-2026-105481)
- [CVE-2026-106072](https://www.cve.org/CVERecord?id=CVE-2026-106072)
- [CVE-2026-106074](https://www.cve.org/CVERecord?id=CVE-2026-106074)
- [CVE-2026-106070](https://www.cve.org/CVERecord?id=CVE-2026-106070)
- [CVE-2026-106071](https://www.cve.org/CVERecord?id=CVE-2026-106071)
- [CVE-2026-106073](https://www.cve.org/CVERecord?id=CVE-2026-106073)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

Node.jsで動くWebアプリ、API、社内ツールが確認対象です。外部データの展開や外部サービスへの接続など、問題ごとに必要な条件は異なります。すべてのアプリが同じ経路で侵害されるわけではありません。

## 原文と確認箇所

- [Node.js Project — Wednesday, October 21, 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)
- [追加の一次資料](https://nodejs.org/en/blog/release/v22.23.4/)
- [追加の一次資料](https://nodejs.org/en/blog/release/v24.22.1/)
- [追加の一次資料](https://nodejs.org/en/blog/release/v26.12.1/)

公式告知のSecurity releases available、各CVEのAffected系列、Downloads and release details、Impact、Last Updatedを確認。3系列の個別リリースページにも2026-10-21と修正番号が明記されています。 原文Last Updated Oct21、3つのリリース本文も2026-10-21。本日10/26の新規発表扱いにはしない。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)