Node.js、22・24・26系の修正版を公開―Brotliのコード実行などに対応

Node.jsプロジェクトは2026年10月21日、セキュリティ修正版の22.23.4、24.22.1、26.12.1を公開しました。既報の更新予告に対し、今回は修正版番号と脆弱性の詳細が公表されています。最大の重大度は「High」です。

Brotli形式の圧縮データを展開する処理では、メモリの範囲外への書き込みにより、遠隔からコードを実行されるおそれがあります。CVE-2026-111497として、22・24・26系が対象に挙げられています。発表は脆弱性と修正の説明で、実際の攻撃被害の確認を伝えるものではありません。

このほか、全角数字で書かれたIPアドレスなどを扱う際のTLS証明書のホスト名検証の回避や、DNS問い合わせでNUL文字以降の名前が切り詰められる問題も修正しました。TLSの問題には24・26系だけが対象のものもあり、すべての脆弱性が全系列に共通するわけではありません。

更新にはOpenSSLやUndiciなど、Node.jsが取り込む部品の修正も含まれます。対象はアプリのnpm依存だけでなく実行基盤のNode.js本体です。利用する系列の修正版を適用し、サポート終了版は対応中の系列へ移行する必要があります。