Node.jsが3系列のセキュリティ修正版を公開、圧縮データ処理などの脆弱性に対応
Web Designing記者が、Webに携わる人向けにニュースをピックアップ。話題の本質を整理し、実務に役立つポイントをコンパクトにまとめました。
Node.jsプロジェクトは2026年10月21日、22.x、24.x、26.xの3系列に向けたセキュリティ修正版「v22.23.4」「v24.22.1」「v26.12.1」を公開しました。
Node.jsは、Webブラウザの外でJavaScriptを実行するためのソフトウェアです。Webアプリのサーバー処理のほか、開発者のPCでファイルの変換やテストなどを行うツールの実行にも使われます。
今回の修正には、深刻度「高」に分類される脆弱性が含まれます。その1つが、データ圧縮方式「Brotli」の展開処理に関する問題です。攻撃者が細工した圧縮データを、アプリがNode.jsの圧縮・展開機能「node:zlib」で展開すると、メモリが不正に書き換えられるおそれがあります。アプリの停止やメモリ内の情報漏えい、攻撃者によるコードの実行につながる可能性がある問題です。
影響を受ける脆弱性は系列によって異なりますが、サポート中の3系列すべてに修正版が提供されています。サポート終了済みの系列には修正版が提供されないため、使用している場合は移行を検討する必要があります。
WD Editor’s Eye｜編集部の視点
本番サーバと開発環境では、異なるNode.jsが使われていることもあります。一方を更新して対応済みとせず、それぞれの環境で実際に動いているバージョンを確かめることが、更新漏れの防止につながります。
文：小平淳一
