Node.js、11月11日に高深刻度の修正を予告、3系統が対象

やること

Node.js（サーバーで JavaScript を動かす実行環境）を使っている場合は、次の2つを進めてください。

• 10月21日の修正版（v26.12.1、v24.22.1、v22.23.4）まで上がっているかを今すぐ確かめてください
• 11月11日以降に更新できるよう、確認と再起動の時間を取っておいてください

バージョンは node -p process.versions.node で確かめられます。

何が危ないのか

開発チームは11月3日に、11月11日（水）かそれ以降に修正版を出すと予告しました。対象は26系、24系、22系で、どの系統でも最も高い深刻度は High です。件数、CVE 番号、内容は公表されておらず、悪用についての記載も、OpenSSL など同梱する部品の更新の記載もありません。詳しい内容は、リリースの日以降に公式のセキュリティページと、告知用のメーリングリスト nodejs-sec で分かります。

サポートが終わったバージョンは、毎回の修正で影響を受けるものとして扱われます。修正は出ないので、サポート中の系統へ移る必要があります。

10月21日の更新では10件の CVE が修正されました。深刻度は High が4件、Medium が3件、Low が3件です。High の1件は10月26日に伝えた Brotli の欠陥で、残りの3件は次のとおりです。

• CVE-2026-105482：DNS の問い合わせで名前が途中の NUL 文字で切り詰められ、ほかの名前に見せかけられるおそれがあります
• CVE-2026-105483：全角の数字を使った IP アドレスを IP アドレスと認識せず、証明書の確認を誤るおそれがあります。26系と24系が対象です
• CVE-2026-106069：先頭に 0 が付く IP アドレスの読み方が Node.js と OS で食い違い、別の接続先として認証されるおそれがあります

Medium は、通信の応答の取り違え、0x7f.0.0.1 のような別の書き方の IP アドレスでの証明書の確認の誤り、randomUUID() などの乱数の値が保存したスナップショットから起動したプロセスで重なる問題です。Low は、権限を絞る機能（Permission Model）の抜け穴などです。同じ日に c-ares、Undici、証明書の一覧（ca-cert）なども更新されています。OpenSSL は24系と22系、SQLite は22系が対象でした。公式の回避策は示されておらず、修正版へ上げることが案内されています。

対象

26系、24系、22系です。Node.js は Web アプリや社内ツールの中で動いていることがあります。OS のパッケージから入れた場合は公式とバージョン番号が違うことがあるので、配布元の案内を確かめてください。

中小企業が確かめること

次の更新は内容が分からないまま日が決まっているので、先に準備できることがあります。Node.js で動かしているサービスの一覧と、それぞれの系統とバージョンを作っておくと、当日に更新の順番を決められます。再起動すると止まるサービスは、止めてよい時間帯を先に決めてください。

IP アドレスや証明書を扱う処理に関わる High が3件ありました。社内の機器やサービスに IP アドレスだけで接続している場合は、10月の更新が入っているかを優先して確かめてください。