「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ

JavaScriptの実行環境である「Node.js」に複数の脆弱性が判明した。リモートからコードを実行されるおそれがある問題も含まれており、開発チームがセキュリティアップデートを公開した。

開発チームは現地時間2026年10月21日、CVEベースで10件の脆弱性を明らかにした。重要度は4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていないが、2番目に高い「高（High）」が4件含まれる。

「CVE-2026-111497」は、「Brotli形式」の圧縮データを展開する処理において、域外メモリへの書き込みが生じる脆弱性。リモートからコードを実行されるおそれがあり、「Node.js 26.x」「同24.x」「同22.x」が影響を受ける。

また「DNS」の名前解決において、NUL文字を含む名前が途中で切り詰められる「CVE-2026-105482」、IPアドレスの表記や解釈に起因してTLS証明書のホスト名検証を回避できる「CVE-2026-105483」「CVE-2026-106069」が判明。

このほか、証明書の検証不備、起動スナップショットなどの利用時における乱数生成値の重複、ファイルアクセスに関する権限制御の回避など、重要度「中（Medium）」の3件、「低（Low）」の3件に対応している。

開発チームは、修正版となる「Node.js 26.12.1」「同24.22.1」「同22.23.4」をリリースした。あわせて依存しているサードパーティ製コンポーネントの「c-ares」「OpenSSL」「SQLite」「Undici」なども更新し、既知の脆弱性に対処した。

サポートが終了した旧バージョンの利用者に対しても、サポート対象となるバージョンへ移行し、脆弱性を解消するよう求めている。

（Security NEXT - 2026/10/23 ）ツイート