Node.js 22・24・26系にHighのセキュリティ更新、HTTP/2・TLSの脆弱性を修正
修正版は22.23.5、24.22.3、26.13.1。24系と26系ではTLSサーバーがリモートから停止するおそれがあるCVE-2026-126051にも対応しました。
公式リリース日：2026-11-11 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Node.jsプロジェクトは2026年11月11日、22・24・26の各LTS系列にセキュリティ更新を公開しました。修正版は22.23.5、24.22.3、26.13.1です。
3系列に共通するHighの修正には、HTTP/2ストリームとバッファーの管理に関するCVE-2026-123863、CVE-2026-123865、CVE-2026-123866、CVE-2026-123874があります。HTTP/TLSのパーサーに関するCVE-2026-123864と、TLSセッション再開などに関するCVE-2026-123872も3系列で修正されました。
24系と26系のリリースノートには、リモートからTLSサーバーをクラッシュさせるおそれがあるCVE-2026-126051（High）も記載されています。Node.js自身がHTTP/2やTLSの接続を受け付けるサービスは優先して点検してください。プロキシを使っている場合も、プロキシからNode.jsまでの接続方式を確認します。
更新前に、本番・CI・開発環境で実行中のバージョンを node --version で確認します。同じメジャー系列の修正版以降へ更新し、コンテナを使う場合はベースイメージの更新後に再ビルド・再デプロイします。切り替え後は実行環境でバージョンを再確認し、HTTP/2やTLSを使うサービスでは接続テストも行います。
出典と編集について
Node.jsプロジェクト：Wednesday, November 11, 2026 Security Releases ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。