26.10.22 - Node.jsに10件の脆弱性　10月のセキュリティアップデートと対策まとめ

PHPの「php2shell」と同じ2026年10月21日、Node.js も26.x／24.x／22.x向けのセキュリティアップデートを公開し、10件の脆弱性（うち4件は重要度High）を修正しました。

主な脆弱性

• Brotli展開処理の不具合（CVE-2026-111497）：圧縮データの展開時にメモリ外へ書き込みが起こり、遠隔からのコード実行につながるおそれがあります。最も重要な修正です。
• TLSのホスト名確認の不具合（CVE-2026-105483／CVE-2026-106069）：別のドメイン向けの証明書が受け入れられてしまう可能性があります。
• DNSの不具合（CVE-2026-105482）：特殊な文字を含む名前が途中で切られ、意図しない名前が解決されるおそれがあります。
• あわせて、OpenSSL、c-ares、SQLite、Undiciなどの依存ライブラリも更新されています。

今すぐやるべきこと

• Node.jsを修正版（26.12.1／24.22.1／22.23.4）へアップデートする。
• Node.js 25など、サポートが終了したバージョンには修正が提供されません。LTS版（24.x）などサポート中のバージョンへ移行してください。
• Next.js、Nuxt、Expressなど、Node.jsで動くWebサービスやAPIサーバー、Dockerイメージも対象です。ビルド環境・本番環境の両方を確認しましょう。

MetAIのサイトについて

MetAIのWebサイト（met-ai.tech）は、公開されたサーバー上でNode.jsを動かしていないため、今回の脆弱性の影響はありません。サイトはCloudflare上の静的ファイルとして配信され、動的な処理もNode.jsではなくCloudflareの実行環境で動いています。社内のサイト制作ツールもインターネットには公開していませんが、念のため修正版のNode.jsへすでに更新しました。

MetAIがお手伝いできること

「うちのサイトは大丈夫？」「何から手をつければいいかわからない」という企業さまへ、MetAIが次のことをお手伝いします。

• 緊急診断：Webサイト・アプリで使われているPHPやNode.jsのバージョンを確認し、影響の有無を調べます。
• 修正・アップデート：PHP、Node.js、WordPress、プラグイン、ライブラリを安全に更新します。サポートが終了した古い環境は、移行まで対応します。
• 今後の攻撃への備え：攻撃フィルターの導入、サーバーを持たない静的サイトへの移行、不正アクセスの監視などで、同じような脆弱性が今後見つかっても被害を受けにくい仕組みをつくります。

MetAIのサイトで実際に使っている仕組みを、そのまま御社にもご提供できます。まずは お気軽にご相談ください（無料相談30分）。

参考：Node.js 公式（October 2026 Security Releases）