Node.jsに高危険度の脆弱性「Node2Shell」、修正版を公開

Node.jsに高危険度のリモートコード実行（RCE）脆弱性「Node2Shell」（CVE-2026-111497）が見つかり、Node.jsチームは10月21日にセキュリティ更新を公開して脆弱性をHigh（高）と評価した。

脆弱性はNode.jsのBrotli伸張機能にあり、範囲外のメモリ書き込みを引き起こす可能性がある。インパーバの研究者が実環境でリモートコード実行を実証した。発見・報告はKhai Tran氏とSylvie Mayer氏が担当し、両氏はOpenAI Codex Securityに所属する。

Brotliを直接使っていない開発者でも、WebフレームワークのExpress 5を使ったサービスは自動的に影響を受ける可能性がある。また、外部サーバーからの圧縮レスポンスを扱う際には、Node.js組み込みのfetch()やaxiosなどのライブラリが影響を受けるおそれがある。

修正版は22.23.4、24.22.1、26.12.1。更新後はNode.jsのプロセスを再起動する必要があり、コンテナイメージは再デプロイが必要となる。

背景

2025年10月には、PHPに「PHP2Shell」と呼ばれる重大なセキュリティ脆弱性が公表されている。