Node.jsに10件の脆弱性修正、v26.12.1など公開
Brotliデコーダの領域外書き込みなど10件を修正。eMudhra中間CA侵害を受けca-certも更新した。
Node.jsのセキュリティ更新版v22.23.4、v24.22.1、v26.12.1が2026年10月21日（UTC）に公開された。forest.watch.impress.co.jpが伝えている。修正対象は合計10件で、深刻度はHighが4件、Mediumが3件、Lowが3件となる。系統別ではv26が10件、v24が8件、v22が7件。
最も深刻なCVE-2026-111497は、Brotliデコーダにおける領域外書き込みで、リモートコード実行につながる可能性がある。DNS関連ではCVE-2026-105482があり、NUL文字を含む名前がdns.resolveで切り詰められる問題がHighとされている。
TLS証明書の検証をめぐる問題も複数含まれる。CVE-2026-105483はIPアドレスを全角数字で記述した場合にホスト名検証を回避できる問題で、v26とv24が影響を受ける。CVE-2026-106069はホストがIPアドレスに緩く解決される場合の検証回避で、いずれもHigh。
Mediumには、リクエスト送信前に書き込まれた応答が処理されるkeep-aliveソケットの問題（CVE-2026-105481）、非正規のIPv4ホスト名に対する証明書検証の問題（CVE-2026-106072）、crypto.randomUUID()とrandomInt()のエントロピーキャッシュがスナップショットやSEAに保存され同じ値が繰り返される問題（CVE-2026-106074）が挙げられている。
LowにはZipFileがヘッダー検証失敗後に攻撃者制御のバイト列を返す問題（CVE-2026-106070、v26のみ）、Permission Modelのワイルドカード検索によるファイルシステム権限の過剰付与（CVE-2026-106071、v26のみ）、fs.realpathSyncによるPermission Modelの回避（CVE-2026-106073）がある。
依存関係も更新され、c-ares 1.34.9、ca-cert、OpenSSL 3.5.9、SQLite 3.53.4、undici 8.12.2/7.30.1/6.29.1が取り込まれた。ca-certの更新は、eMudhraの中間認証局が侵害された事案に対応するもの。今回の更新は事前の告知どおり実施された。
よくある質問
今回公開されたNode.jsの更新版はどれですか？
v22.23.4、v24.22.1、v26.12.1の3系統が2026年10月21日（UTC）に公開されました。
修正された脆弱性は何件ですか？
合計10件で、深刻度はHighが4件、Mediumが3件、Lowが3件です。