Node.js の脆弱性（2026年10月）：CVE-2026-111497 ほか10件と、今やること
Node.js は 2026年10月21日に、Brotli の処理でリモートからコードを実行されるおそれのある CVE-2026-111497 を含む10件の脆弱性を修正しました。22.23.4・24.22.1・26.12.1 以降に更新すれば解消します。Node.js 20 以前には修正版が出ないため、サポート中の系列（22・24・26）への移行が必要です。
Node.js の脆弱性は、サーバー会社が直してくれるものではありません。VPS・クラウド・PaaS で動かしているアプリも、開発用 PC やビルド環境も、自分で更新する必要があります。
修正された主な脆弱性
| CVE | 内容 | 深刻度 |
|---|---|---|
| CVE-2026-111497 | Brotli デコーダの境界外書き込み。細工されたデータの展開でリモートコード実行のおそれ。標準の fetch は HTTPS で Brotli を要求するため、影響範囲が広い | High |
| CVE-2026-106069／CVE-2026-105483 | TLS 証明書のホスト名検証の回避 | High |
| CVE-2026-105482 | dns.resolve が NUL 文字を含む名前を切り詰める | High |
| CVE-2026-105481 ほか | keep-alive ソケット、TLS の SAN の扱い、crypto のエントロピーキャッシュなど | Medium／Low |
攻撃コード（PoC）の公開が報告されています（2026年10月22日時点）。
修正版とサポート状況
| 系列 | 修正版 | 状態 |
|---|---|---|
| Node.js 26 | 26.12.1 | 更新すれば解消 |
| Node.js 24 | 24.22.1 | 更新すれば解消 |
| Node.js 22 | 22.23.4 | 更新すれば解消 |
| Node.js 20 以前 | なし | サポート終了。22・24・26 への移行が必要 |
今やること
- バージョンを確認：サーバーで
node -v。Docker の場合はベースイメージ（例node:22）のタグも確認します。 - 同じ系列の修正版へ更新：22 系なら 22.23.4 以降など。nvm・パッケージ・Docker イメージなど導入方法に合わせて更新し、アプリを再起動します。
- 再ビルド：crypto の問題があるため、ビルド成果物やコンテナイメージも作り直します。
- npm 依存関係も確認：
npm auditで、ライブラリ側の既知の脆弱性も合わせて確認します。 - Node.js 20 以前は移行計画を：修正版が出ないため、22・24 系への移行と動作確認が必要です。
自社で対応が難しい場合は、Patch48 の 緊急セキュリティ対応パック（VPS・独自アプリ）で、修正の適用確認・更新・侵入痕跡の確認・npm 依存関係のチェックまで48時間で行います。
参考：The Hacker News ／ Astra Security ／ CloudLinux
よくある質問
Node.js 18 や 20 を使っています。どうすればいいですか？
今回の修正版は出ないため、サポート中の Node.js 22・24・26 系への移行が必要です。移行までの間は、外部の URL からデータを取得する処理や、外部から受け取ったデータの展開を見直してリスクを下げます。
Vercel や AWS Lambda などのサービスで動かしていても影響はありますか？
ランタイムのバージョンをサービス側で選ぶ場合は、設定で新しいバージョンを選び直す必要があります。サービスの告知とランタイム設定を確認してください。
Next.js のサイトも関係ありますか？
Next.js は Node.js の上で動くため、Node.js 本体の更新が必要です。あわせて Next.js 自体にも2026年10月に重大な脆弱性が公表されています（Next.js の脆弱性を参照）。
自社のサイトが該当するか、48時間で確認・対応します
修正の適用確認・必要な場合のパッチ適用・侵入痕跡の確認・CMS やアプリのチェックまで。共用サーバー・CMS 59,800円（税込65,780円）、VPS・独自アプリ 98,000円（税込107,800円）。急ぎでなければ無料見積りもご利用いただけます。
緊急対応を申し込む →