Node.jsに重大な脆弱性！遠隔からコード実行のおそれ、更新先と今すぐ確認すること

Node.jsは、Webサービスや開発ツールなどでJavaScriptを実行するためのソフトウェアだ。2026年10月21日付の公式告知で、遠隔からコードを実行されるおそれがある脆弱性などへのセキュリティ更新が発表された。

2026年10月22日時点の修正済みバージョンは、22.23.4、24.22.1、26.12.1だ。系列ごとの更新先と、自社で進める確認・対策の手順をまとめる。

利用中の系列ごとに更新先を確認する

いずれも、今回の脆弱性に対応した各系列の最新バージョンだ。上の表は2026年10月22日時点の公式配布情報と照合している。

遠隔からコードを実行されるおそれも

特に注意したいのは、Brotliという圧縮形式のデータを展開する処理の問題だ。メモリの扱いに不備があり、遠隔から不正なコードを実行されるおそれがある。公式告知は、22・24・26系を影響する系列として挙げている。

ほかにも、通信先の証明書を確認する処理、乱数の生成、ファイルへのアクセス制限などの問題が修正されている。実際の影響は、利用している機能や構成を公式告知と照合して確認する。

利用場所と稼働バージョンを確認する手順

Node.jsは複数の場所で別々に使われていることがある。次の順に確認し、更新が必要な環境を把握したい。

1. 利用場所を洗い出す。 本番サーバー、コンテナ、開発PC、CIを確認する。Webサービスや社内API、定期処理、ビルドでの利用も含める。
2. 各環境の稼働バージョンを確認する。 サーバーや開発PCに入っているNode.jsと、実際の処理で使っているNode.jsを確かめる。コンテナはイメージと稼働中の環境を確認する。
3. 更新担当を決める。 委託先や導入製品については、Node.jsの利用有無、提供元の対応状況、更新予定を確認する。

更新から動作確認までの手順

1. 更新先を選ぶ。 利用中の系列とシステムの互換性を確認し、上の表と提供元の案内を基に選ぶ。サポートが終了した系列は、サポート中の系列への移行を検討する。
2. 更新を適用し、再起動・再配備する。 コンテナは更新を取り込んで再ビルドし、稼働中の環境へ配備する。
3. 稼働中のバージョンを再確認する。 実際に動いている処理が修正済みのNode.jsを使っているか、サーバーやコンテナごとに確かめる。
4. 業務に必要な機能を確認する。 ログイン、データの登録・取得、定期処理などの結果を記録し、更新担当と共有する。

PMや情シスは、利用場所、更新担当、対応予定、動作確認の結果を一覧で管理すると、対応の抜けを把握しやすい。