「Node.js」にDoSなど複数脆弱性 - アップデートが公開

「Node.js」の開発チームは、複数の脆弱性へ対処したセキュリティアップデートをリリースした。サポートが終了している旧版も影響を受けるおそれがあり、最新版に更新するよう呼びかけている。

現地時間2026年3月24日にセキュリティアドバイザリを公開したもの。バージョンによって影響を受ける脆弱性は異なるが、CVEベースで9件の脆弱性に対応したという。

このうち2件については重要度を4段階中、上から2番目にあたる「高（High）」としている。具体的には、以前修正された「CVE-2026-21637」の修正が不完全であり、対策を講じたことを明らかにした。今回の修正に関しても同じCVE番号「CVE-2026-21637」として対処したとしている。

またHTTPリクエスト処理において「__proto__」ヘッダを含むリクエストにより「TypeError」が発生する「CVE-2026-21710」が確認された。悪用されるとプロセスの停止につながるおそれがある。

「パーミッションモデル」を回避される「CVE-2026-21711」、細工されたURLによってクラッシュする「CVE-2026-21712」、JavaScriptエンジン「V8」においてHashDoSが生じる「CVE-2026-21717」など5件については、重要度が1段階低い「中（Medium）」とレーティング。さらに2件については「低（Low）」とした。

開発チームは、脆弱性を修正した「Node.js 25.8.2」「同24.14.1」「同22.22.2」「同20.20.2」をリリース。サポート終了版も影響を受けるとしており、利用者に最新バージョンへ更新するよう呼びかけている。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-21637
CVE-2026-21710
CVE-2026-21711
CVE-2026-21712
CVE-2026-21713
CVE-2026-21714
CVE-2026-21715
CVE-2026-21716
CVE-2026-21717

（Security NEXT - 2026/03/26 ）ツイート

「Node.js」にDoSなど複数脆弱性 - アップデートが公開

関連リンク

PR

関連記事