「Node.js」に12件の脆弱性 - 修正版を公開

「Node.js」に複数の脆弱性が判明し、開発チームは現地時間2026年6月18日にセキュリティアップデート「Node.js 26.3.1」「同24.17.0」「同22.23.0」をリリースした。

今回のアップデートでは、あわせて12件の脆弱性を修正している。重要度を見るともっとも高い「クリティカル（Critical）」とされる脆弱性は含まれておらず、次に高い「高（High）」とされる脆弱性は2件だった。

「CVE-2026-48933」は、「WebCrypto」における実装の不備により、AES処理において整数オーバーフローが生じ、プロセスがクラッシュする脆弱性。また、Unicodeドット区切り文字の処理に起因するTLSのホスト名処理に問題があり、ワイルドカード証明書の検証が回避される「CVE-2026-48618」を修正している。

さらに異なるサーバ名を使用したセッション再利用によるTLSホスト名検証のバイパスが可能となる「CVE-2026-48934」をはじめ、重要度「中（Medium）」の脆弱性6件に対応した。

エラーメッセージでプロキシ認証情報が漏洩する「CVE-2026-48615」や「mTLS認証」のバイパスにつながる可能性がある「CVE-2026-48928」のほか、「CVE-2026-48930」「CVE-2026-48937」「CVE-2026-48619」を修正。さらにパーミッションのバイパスをはじめ「低（Low）」とされる4件に対応している。

開発チームでは、「Node.js 26.3.1」「同24.17.0」「同22.23.0」にて脆弱性を修正。すでにサポートが終了しているブランチに関しても脆弱性の影響を受けるとして注意を呼びかけている。今回修正された脆弱性は以下のとおり。

CVE-2026-48615
CVE-2026-48617
CVE-2026-48618
CVE-2026-48619
CVE-2026-48928
CVE-2026-48930
CVE-2026-48931
CVE-2026-48933
CVE-2026-48934
CVE-2026-48935
CVE-2026-48936
CVE-2026-48937

（Security NEXT - 2026/06/22 ）ツイート

「Node.js」に12件の脆弱性 - 修正版を公開

関連リンク

PR

関連記事