ニュース

「Node.js」にセキュリティ更新 ～10件の脆弱性を修正、「eMudhra」の侵害にも対応

v22.23.4、v24.22.1、v26.12.1が公開

2026年10月22日 09:15

「Node.js」のセキュリティアップデート

　「Node.js」のセキュリティアップデートが10月21日（協定世界時）、予告通りに実施された。今回リリースされたバージョンは、以下の通り。できるだけ早い更新が望ましい。

　今回の更新全体で修正された脆弱性は10件。系列別では、v26系が10件、v24系が8件、v22系が7件となる。深刻度の内訳は「High」が4件、「Medium」が3件、「Low」が3件。

  • CVE-2026-105482：dns.resolve truncates names containing NUL char（High）
  • CVE-2026-105483：TLS certificate hostname bypass when the IP is written fullwidth digits（High）※v26/v24のみ
  • CVE-2026-106069：TLS certificate hostname bypass when the host loosely resolves to an IP address（High）
  • CVE-2026-111497：Node.js Brotli decoder out-of-bounds write permits remote code execution（High）
  • CVE-2026-105481：Keep-alive socket process a response that was written before the request was sent（Medium）
  • CVE-2026-106072：Improper certificate validation for non-canonical IPv4 hostnames allows DNS SANs to authenticate IP endpoints（Medium）
  • CVE-2026-106074：crypto.randomUUID() and randomInt() entropy caches are saved into user-land startup snapshots and SEAs, so every process repeats the same values（Medium）
  • CVE-2026-106070：Node.js ZipFile returns attacker-controlled prefix bytes after failed ZIP header validation（Low）※v26のみ
  • CVE-2026-106071：Permission Model filesystem over-grant via wildcard radix lookup（Low）※v26のみ
  • CVE-2026-106073：Permission Model bypass with fs.realpathSync（Low）

　「High」と評価された4件のうち、もっとも注意したいのは「Brotli」デコーダーの境界外書き込み（CVE-2026-111497）だ。リモートからコードを実行されるおそれがある。

　また、公表済みの脆弱性に対処するため、以下の依存関係も更新されている。

  • c-ares（1.34.9）：v26/v24/v22
  • ca-cert（「eMudhra」の中間認証局の侵害に対応）：v26/v24/v22
  • OpenSSL（3.5.9）：v24/v22
  • SQLite（3.53.4）：v22
  • undici（8.12.2/7.30.1/6.29.1）：v26/v24/v22
Amazonで購入