Node.jsのセキュリティ更新の経緯｜予告・修正版公開・Vercelの対応

これまでの経緯

公式発表の公表日順（古い順）に掲載しています。当社記事がない報告は公式発表へ直接リンクしています。

1. 2026.10.14

   更新予告

   22・24・26系の更新を10月21日以降に予定。最大深刻度はHighとし、修正版番号や詳しい攻撃条件は未公表でした。

   Node.js、10月21日以降にセキュリティ更新を予定―22・24・26系が対象 →当社記事公開：2026-10-21 · 公式発表 ↗
2. 2026.10.21

   修正版公開

   3系列の修正版を公開。Brotliのメモリー破損、TLSの検証回避、DNS処理などの修正内容が判明しました。問題によって対象系列は異なります。

   Node.js、22・24・26系の修正版を公開―Brotliのコード実行などに対応 →当社記事公開：2026-10-22 · 公式発表 ↗

企業・サービスへの影響と対応

各社が公表した対応を、公表・更新日の古い順に掲載しています。停止や更新対応と、侵害被害の確認は区別しています。

• VercelWAF防御・修正版を展開中

  Brotliの攻撃を防ぐWAFルールとランタイム更新を案内 ↗

  公表日（原文表記）：2026-10-21 / 確認日：2026-10-22

  全プロジェクトにWAFルールを適用し、管理ランタイムへ修正版を展開中と説明しています。WAFは外部から取得する応答を保護しないため、更新の代わりにはなりません。Node.js 20系の利用者には22系または24系への変更と再デプロイを求めています。

確認できていないこと

確認した発表は脆弱性と修正・防御策の説明です。特定企業への侵入や情報漏えいを確認したという発表ではありません。Vercelの修正版展開も、今回確認した告知では進行中で、完了とは記載されていません。