Node.jsプロジェクトは10月21日、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開した。修正した脆弱性は10件で、公式の評価では最高重要度のHighが4件、Mediumが3件、Lowが3件だった。Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性も含まれるという。
Node.jsプロジェクトは10月21日（水）、公式ブログで、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開したと発表した。修正版はv26.12.1、v24.22.1、v22.23.4。修正した脆弱性は計10件で、公式の評価は最高重大度のHighが4件、Mediumが3件、Lowが3件だった。Web技術の調査機関であるW3Techsの統計によると、Webサイト全体の約5%が使用し、上位100万サイトに限れば約9%が利用しているという。
Highの4件のうち、Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性（CVE-2026-111497）は、26.x、24.x、22.xのすべてが対象。公式の告知は、悪用の条件や回避策、悪用状況については記載していない。
残るHighは、dns.resolveがNUL文字を含む名前を切り詰める問題（CVE-2026-105482）と、TLS証明書のホスト名検証をバイパスできる2件。1件は全角数字で書いたIPアドレスによるもの（CVE-2026-105483、26.xと24.x）、もう1件はホスト名がIPアドレスに緩く解決される場合のもの（CVE-2026-106069、26.x、24.x、22.x）だ。
Mediumは3件。keep-aliveソケットがリクエスト送信前に書き込まれたレスポンスを処理する問題（CVE-2026-105481）、非正規形のIPv4ホスト名でDNS SANがIPエンドポイントを認証できてしまう問題（CVE-2026-106072）、crypto.randomUUID()とrandomInt()のエントロピーキャッシュがスナップショットやSEAに保存され、全プロセスが同じ値を繰り返す問題（CVE-2026-106074）だ。
Lowの3件は、ZIPヘッダーの検証に失敗したあとで攻撃者が制御するプレフィックスのバイトが返る問題（CVE-2026-106070、26.xのみ）、パーミッションモデルがワイルドカードのradix検索でファイルシステムの権限を過剰に付与する問題（CVE-2026-106071、26.xのみ）、fs.realpathSyncによるパーミッションモデルのバイパス（CVE-2026-106073）。
あわせて、c-ares、ca-cert（eMudhraの中間CAの侵害）、OpenSSL（24.xと22.x）、SQLite（22.x）、Undiciの依存関係も更新した。公式は、サポート終了（EOL）版はセキュリティリリースのたびに影響を受けると注意している。
PHPでも同じ10月21日、認証なしでコードを実行されるおそれがある脆弱性2件を修正した更新版が公開され、重大な脆弱性をめぐって一部のWebサイトが一時停止する事態にもなった。
スレでは「次はApacheか？」「Javaも駄目だし、もう終わり」と、主要な実行環境やサーバーソフトの脆弱性が相次いでいる状況に不安の声が上がった。一方、「evalを使うインタプリタは全滅だろ」と、特定の言語だけの問題ではないとする意見や、「JavaScriptはやめよう」「npmの依存関係が多すぎてセキュリティを維持できない」と、Node.jsやJavaScriptの開発環境そのものを批判する書き込みも見られた。
また、Node.jsのメモリ管理やセキュリティに対する皮肉、以前から脆弱性を懸念していたユーザーへの言及もあった。ただし、今回の発表だけでNode.js全体が危険と断定できるわけではなく、実際のリスクは利用バージョンや構成、脆弱な機能の使用状況によって異なる。PHPでも同時期に重大な脆弱性への対応が行われており、特定の言語に限らず、ソフトウェアの更新と依存関係の管理が重要だという問題が浮き彫りになっている。(ChatGPT)
レガシー上等とかnpm無辺依存とかAI時代にセキュリティ維持できるわけがない
美味しいの?
位の界隈だろ
今どうしてるかな？
使い勝手はいいけどJS可読性悪いねん
その残渣がホールになっているだけ。
量子もつれ的ハックなんかAIしか出来ない。
Amazonで見る