結論
Node.jsのセキュリティリリースとは、Node.jsの開発チームが脆弱性を直した新しい版を公開することです。2026年10月21日のリリースでは、重要度「High」の4件を含む10件が修正され、v26.12.1・v24.22.1・v22.23.4が公開されました。自社でNode.jsを動かしているサーバーやDockerイメージは更新が必要です。AWS LambdaやVercelなどのサービスは各社が修正版を入れる仕組みですが、再デプロイして版を確かめるのが確実です。サポートが終わったv20とv25には修正版が出ません。
Node.js（ノード・ジェイエス）は、JavaScriptをサーバー側で動かすための仕組みです。Next.jsで作ったサイト、APIや社内ツール、サイト制作で使うビルドツールなど、多くの場面で使われています。
Node.jsの開発チームは事前に予告したうえで、2026年10月21日にセキュリティリリースを公開しました。この記事では、何が直ったのか、どの版が対象か、そしてクラウドや配布元の各社がどう対応しているかを、2026年10月22日1時（日本時間）時点の情報でまとめます。同じ日に公開されたPHPの重大な脆弱性とは別の件です。
何が発表されたのか
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年10月21日（Node.js公式ブログ） |
| 修正された脆弱性 | 10件（重要度High 4件・Medium 3件・Low 3件） |
| 修正版 | v26.12.1（Current）・v24.22.1（LTS）・v22.23.4（LTS） |
| あわせて更新された部品 | c-ares、Undici、CA証明書（eMudhraの中間認証局の侵害への対応）、OpenSSL（24.x・22.x）、SQLite（22.x） |
| サポート終了の版 | 修正版なし。公式は「サポート終了の版は常に影響を受ける」としている |
修正された10件の脆弱性
| 識別番号 | 重要度 | どんな問題か | 対象の系列 |
|---|---|---|---|
| CVE-2026-111497 | High | Brotli（ブロトリ、圧縮形式の1つ）のデータを展開する処理で、メモリの範囲外に書き込む不具合。遠隔からのコード実行につながる恐れ | 26.x・24.x・22.x |
| CVE-2026-106069 | High | 接続先の名前がIPアドレスとして緩く解釈される場合に、TLS証明書の宛先の確認をすり抜けられる | 26.x・24.x・22.x |
| CVE-2026-105483 | High | IPアドレスを全角数字で書いた場合に、TLS証明書の宛先の確認をすり抜けられる | 26.x・24.x |
| CVE-2026-105482 | High | dns.resolveが、NUL文字を含む名前を途中で切って名前解決してしまう |
26.x・24.x・22.x |
| CVE-2026-105481 | Medium | 接続を使い回す（keep-alive）ときに、リクエストを送る前に届いた応答を処理してしまう | 26.x・24.x・22.x |
| CVE-2026-106072 | Medium | 標準的でない書き方のIPv4アドレスで、ドメイン名用の証明書がIPアドレスの相手の認証に使えてしまう | 26.x・24.x・22.x |
| CVE-2026-106074 | Medium | crypto.randomUUID()などの乱数の一部がスナップショットや単一実行ファイルに保存され、毎回同じ値が出てしまう |
26.x・24.x・22.x |
| CVE-2026-106073 | Low | 権限モデル（ファイルへのアクセス制限）がfs.realpathSyncですり抜けられる |
26.x・24.x・22.x |
| CVE-2026-106071 | Low | 権限モデルで、ワイルドカード指定により意図より広くファイルへのアクセスが許可される | 26.xのみ |
| CVE-2026-106070 | Low | ZIPの見出しの確認に失敗した後も、攻撃者が用意したデータを返してしまう | 26.xのみ |
最も注意が必要なのは、Brotliの展開処理の不具合（CVE-2026-111497）です。公式の題名には「遠隔からのコード実行を許す」とあり、外部から受け取った圧縮データを展開するアプリで悪用されると、サーバー上でプログラムを動かされる恐れがあります。公式の発表は題名が中心で、攻撃の条件などの詳しい説明はまだ出ていません。
TLS証明書の確認をすり抜けられる3件（CVE-2026-106069・105483・106072）は、通信の相手が本物かどうかを確かめる仕組みに関わります。悪用されると、偽の相手との通信を正しい相手との通信だと誤認する恐れがあります。なお、TLSの件の修正記録には「悪用は容易ではない」と書かれていると報告されています（lilting channel）。2026年10月22日1時（日本時間）時点で、公式の発表に実際の攻撃に使われたという記載はありません。
対象のバージョンとサポートの状況
| 系列 | 状況（公式の予定表） | 修正版 | サポート終了 |
|---|---|---|---|
| v26 | Current（2026年10月28日にLTSへ移行予定） | v26.12.1 | 2029年4月30日 |
| v24 | LTS（2026年10月20日からメンテナンス期間） | v24.22.1 | 2028年4月30日 |
| v22 | LTS（メンテナンス期間） | v22.23.4 | 2027年4月30日 |
| v25 | サポート終了 | 修正版なし | 2026年6月1日に終了 |
| v20 | サポート終了 | 修正版なし | 2026年4月30日に終了 |
v20を使い続けているシステムは少なくありません。v20は2026年4月30日でサポートが終わっており、今回の脆弱性も直りません。独立した検証では、サポート終了済みのv25.3.0でも、名前解決の不具合と侵害されたCA証明書の問題が残っていることが確認されています（lilting channel、2026年10月21日）。v22以上（できればv24かv26）への移行が必要です。
各社の対応（2026年10月22日1時時点）
Node.jsを使うクラウドや配布元の対応を、各社の公開情報で確認しました。今回の件について個別の告知を出している会社はまだ少なく、多くは「修正版は自動で入れる」という平時の方針で対応する形です。
| 会社・サービス | 対応 | 利用者がやること |
|---|---|---|
| Node.js公式（nodejs.org） | 10月21日に3系列の修正版を公開 | 手元やサーバーのNode.jsを修正版に更新する |
| Docker公式イメージ（node） | 22.23.4・24.22.1・26.12.1のタグを10月21日（日本時間20時40分ごろ）に公開 | イメージを作り直して再デプロイする（ltsなどのタグを使っていても作り直しは必要） |
| AWS Lambda | 管理型ランタイムは「既定で自動的に更新を適用する」と説明。今回の件の個別の告知は確認できず | 自動更新を止めていないか確認する。コンテナイメージで動かしている関数は作り直す。nodejs26.xはプレビューのため本番には使わない |
| Vercel | 「セキュリティ修正などのパッチは自動で配信する」と説明（選べるのはメジャー版のみ）。今回の件の個別の告知は確認できず | 再デプロイし、process.versionで版を確かめる。v20は2026年10月1日で非推奨 |
| Netlify | ビルドのNode.jsはnvmで取得。メジャー版だけを指定していれば最新の修正版が使われる。今回の件の個別の告知は確認できず | NODE_VERSIONなどで細かい版を固定していれば書き換え、再デプロイする |
| Google Cloud Run（関数を含む） | ソースからのデプロイでは、自動のセキュリティ更新が既定で有効 | 自動更新の設定を無効にしていないか確認する |
| Azure App Service | 細かい版（パッチ）はプラットフォーム側が管理すると説明 | 特定の版が必要な場合は、カスタムコンテナで自分で更新する |
| Heroku | 10月22日1時の時点で、更新履歴に今回の修正版の追加の記載なし（10月15日に26.12.0と24.22.0を追加） | 修正版の追加を確認したら、enginesの指定を見直して再デプロイする |
| Render | 指定した版を使う仕組み。新規サービスの既定は24.21.0（9月17日以降） | NODE_VERSIONなどで修正版（24.22.1以上など）を指定して再デプロイする |
| Homebrew（Mac） | 10月22日1時の時点で、nodeは26.12.0のまま（修正版は未反映） | 反映を待つか、公式サイトのインストーラーやnvmで更新する |
表の「確認できず」は、2026年10月22日1時（日本時間）時点に各社の更新履歴やお知らせで見つからなかったという意味で、対応していないという意味ではありません。サービスによっては、すでに稼働中の関数やサイトには新しい版が反映されず、次にデプロイしたときに初めて修正版が使われることがあります。迷ったら再デプロイして、ログやプログラムで実際の版を確かめるのが確実です。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
自社で確認する3つの手順
手順1：Node.jsを使っている場所を洗い出す
Webサイト（Next.jsなど）、API、定期実行の処理、社内ツール、そして開発やサイト制作に使うパソコンやビルド環境です。サイト本体がNode.jsで動いていなくても、制作の工程で使っていることがよくあります。
手順2：版を確認する
サーバーやパソコンではnode -v、プログラムの中ではprocess.versionで確認できます。v24ならv24.22.1以上、v22ならv22.23.4以上、v26ならv26.12.1以上が修正版です。
手順3：更新する
- クラウドの管理型サービス：再デプロイして版を確かめる。版を細かく固定していれば書き換える
- 自社で管理するサーバー：修正版に更新し、Node.jsのプロセスを再起動する
- Docker：新しいイメージで作り直し、入れ替える
- v20・v25：v22以上に移行する。ライブラリの対応を確かめ、試験環境で動作を確認してから切り替える
WordPressのサイトは関係あるか
WordPressはPHPで動いているため、サイトの表示そのものにNode.jsは使われていないことがほとんどです。ただし、テーマの開発や画像の最適化などで、制作会社がNode.jsを使っている場合があります。制作を外部に任せている場合は、開発環境の更新もあわせて依頼しておくと安心です。WordPressのサイトでは、同じ日に公開されたPHPの修正版への更新のほうが優先度は高くなります。
いま確認すべきこと
- Node.jsを使っているサイト・API・社内ツール・ビルド環境を一覧にした
- それぞれの版を確認し、v26.12.1・v24.22.1・v22.23.4以上かを確かめた
- クラウドで動かしているものは再デプロイし、実際の版を確認した
- Dockerイメージを作り直した
- v20・v25を使っているものは、v22以上への移行の日程を決めた
- 開発に使うパソコン（Homebrewなど）の更新も済ませた
よくある質問
Node.jsをインストールした覚えがありません。関係ありますか？
パソコンでWebサイトを見るだけなら関係ありません。Node.jsは主に、サーバーで動くプログラムや、開発・サイト制作の道具として使われます。自社のサイトやシステムで使っているかどうかは、制作会社や開発担当に確認してください。
AWS LambdaやVercelなら、何もしなくても大丈夫ですか？
各社とも修正版を入れる仕組みを持っていますが、反映の時期や、稼働中の関数への反映方法は公開情報では分からない部分があります。再デプロイしてから、ログやprocess.versionで実際の版を確かめるのが確実です。
v20を使っています。すぐに危険ですか？
v20は2026年4月30日でサポートが終わっており、今回の10件の修正は入りません。2026年10月22日1時（日本時間）時点で実際の攻撃の報告はありませんが、修正内容が公開されたことで攻撃方法を探られやすくなります。v22以上への移行を早めに計画してください。
どの系列に上げればよいですか？
これから移行するなら、v24（2028年4月30日までサポート）が無難です。v26は2026年10月28日にLTSへ移行する予定で、サポートは2029年4月30日までです。使っているライブラリが対応しているかを確かめてから選んでください。
PHPの脆弱性と同じものですか？
別のものです。同じ10月21日に、PHPでも重大な脆弱性2件の修正版が公開されました。WordPressのサイトはPHPで動いているため、そちらへの対応も必要です。
出典
- Node.js「Wednesday, October 21, 2026 Security Releases」（2026年10月21日）
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases - Node.js「Previous Releases」（2026年10月22日確認）
https://nodejs.org/en/about/previous-releases - Node.js「Release schedule」（GitHub、2026年10月22日確認）
https://github.com/nodejs/release#release-schedule - Docker Hub「node」公式イメージのタグ（22.23.4・24.22.1・26.12.1、2026年10月22日確認）
https://hub.docker.com/_/node - AWS「Lambda runtimes」（2026年10月22日確認）
https://docs.aws.amazon.com/lambda/latest/dg/lambda-runtimes.html - Vercel「Supported Node.js versions」（2026年10月22日確認）
https://vercel.com/docs/functions/runtimes/node-js/node-js-versions - Netlify「Manage build dependencies」（2026年10月22日確認）
https://docs.netlify.com/build/configure-builds/manage-dependencies/ - Google Cloud「Configure automatic base image updates」（2026年10月22日確認）
https://docs.cloud.google.com/run/docs/configuring/services/runtime-base-images - Microsoft「App Service language support policy」（2026年10月22日確認）
https://learn.microsoft.com/en-us/azure/app-service/language-support-policy - Heroku「Changelog」（2026年10月22日確認）
https://devcenter.heroku.com/changelog - Render「Setting your Node.js version」（2026年10月22日確認）
https://render.com/docs/node-version - Homebrew「node」（2026年10月22日確認）
https://formulae.brew.sh/formula/node - lilting channel「Node.js v24.22.1 fixes four HIGH CVEs」（2026年10月21日、個人による検証）
https://lilting.ch/en/articles/nodejs-tls-dns-brotli-security-release
※本記事は2026年10月22日1時（日本時間）時点の公開情報にもとづいています。各社の対応は今後更新される可能性があります。最新の情報はNode.js公式サイトと、お使いのサービスの発表でご確認ください。
あわせて読みたい
サイト・システムの保守のご相談
「うちは対象？」の確認から
お気軽にご相談ください
株式会社仁頼は、Webサイトの制作・改善と、検索・AI検索からの集客を支援しています。使っている仕組みの確認や、更新・移行の進め方からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
