Node.jsの脆弱性、自社サイトにも関係する？｜2026年10月の更新と確認事項

2026年10月21日、Node.jsの22・24・26系統にセキュリティ修正版が公開されました。Node.jsは、Webサービスのサーバー処理や、ホームページを生成する作業で使われる実行環境です。自社で直接導入した覚えがなくても、制作・運用の仕組みに含まれることがあります。

この記事の確認日は2026年10月25日です。導入時には、Node.jsの公式発表と利用する配信サービスの案内を再確認してください。

今回の修正には、外部から受け取った圧縮データの処理が含まれる

CVE-2026-111497は、Brotliという方式で圧縮されたデータを展開する処理の問題です。攻撃者が用意したデータをアプリが展開する条件では、停止、メモリ内の情報の漏えい、意図しないコードの実行につながる可能性があります。Node.jsを利用しているという事実だけで、侵害されたとは判断できません。

公式が今回の修正版として案内しているのは、22.23.4、24.22.1、26.12.1です。ほかにも通信相手の確認などに関する修正が含まれます。導入する際は、この修正を含む版に加えて、後続の更新が出ているかも確かめてください。Node.jsの修正内容

制作担当者には、公開環境・生成環境・外部処理を分けて聞く

管理画面が「22系」といった大まかな表示の場合は、実際に動いている版の細かな番号まで担当者に確認してもらいます。

Vercelなどのサービスに任せている範囲も確認する

Vercelは10月24日の案内で、既知の攻撃パターンに対する防御と、管理するNode.js環境への修正版の展開を説明しています。ただし、防御機能は修正版の適用を代替しません。サービスの外で動かすサーバーや、外部から取得する応答など、別途確認が必要な範囲があります。Node.js 20系を使うプロジェクトには設定変更と再公開を案内しています。Vercelの告知

「ホスティング会社が対応した」と聞いた場合も、自社のどの処理がその対応に含まれるのかを確認します。事業者が更新する部分と、自社で更新する部分を書き出しておくと、対応漏れを確認できます。

静的サイトでも、制作と公開の環境は確認が必要

生成したHTMLを配信するだけのページは、閲覧のたびにNode.jsを動かす構成とは異なります。ただし、ページを作る工程や、別に置いたフォーム・APIがNode.jsを使っている場合があります。

そのため、静的サイトなら全部関係ない、とも、AstroやNext.jsなら全部同じ影響がある、とも言えません。技術構成の整理にあるように、公開ページと裏側の処理を分けて確認します。

更新を頼んだ後は、公開と動作確認まで記録する

担当者には、対象環境、修正前後の版、公開日時、ログイン・フォーム・予約などの確認結果を報告してもらいます。作業用PCで更新しただけでは、本番環境へ反映されたことにはなりません。

すでに不審な動作がある場合は、現在の運用担当者へ連絡し、記録の保全と調査を進めます。過去に侵害された可能性がある場合は、更新作業と並行して、ログなどの記録を調べる必要があります。

AIで作ったサービスのレビューガイドでは、権限と公開手順を含めた確認範囲を整理しています。継続的な相談先が必要な場合は技術顧問へ。初回の確認は5万円（税別）で、修正・復旧作業は別途見積もりです。