PHPの次はNode.js。何を更新する？

Node.jsプロジェクトが、公式日付10月21日、セキュリティ修正版を公開しました。確認できた脆弱性は合計10件で、そのうち高深刻度が4件です。ニュースに出た名前を全部入れるのではなく、使っている場所と系列を確認するところから始めます。

30秒のまとめ動画。くわしい内容と図解は、下の「Xで記事を読む」から。

30 sec

30秒でわかる、この速報

いつ: 2026年10月21日付の公式発表。この記事の確認日は日本時間10月22日
だれが: JavaScriptを動かす実行環境を開発するNode.jsプロジェクト
なにを: 22.23.4、24.22.1、26.12.1のセキュリティ修正版を公開
どこに関係する: Node.jsを使うサーバー、開発用パソコン、コンテナ、組み込み製品など
お金の話: Node.js本体の更新版に購入代金は不要。作業やサービス契約には費用が生じる場合あり
なにをする: 使っている場所と系列を確認し、修正版を適用して、動いている環境で確かめる

Points

おさえるところ

公式の告知には「The highest severity issue fixed in this release is HIGH.」とある。公式掲載の10項目は、高深刻度4件、中深刻度3件、低深刻度3件。「10件以上が高深刻度」「10件すべてが高深刻度」ではない
修正版は22.23.4、24.22.1、26.12.1。3つを順番に入れるのではなく、22系なら22系、24系なら24系の修正版を使う。大きな世代変更の話とは分けて考える
高深刻度の1つはBrotliデコーダーの範囲外書き込みで、リモートコード実行と関連づけられている。CVE番号はCVE-2026-111497で、対象系列は22・24・26
TLS関連の高深刻度はIPアドレスの表記や解釈に関係する2件。全角数字に関係するものは24・26系、IPアドレスとしての緩い解釈に関係するものは22・24・26系が対象。DNSでは、dns.resolveでNULという特殊な文字を含む名前が途中で切り詰められる問題も高深刻度として載っている
2026年10月22日時点で、公式リリースページは22・24をLTS、26をCurrentと表記している。公式は、本番アプリでActive LTSかMaintenance LTSを使うよう案内している
Node.js本体の更新版に購入代金は不要。ただし、委託先の緊急作業、動作確認、古い製品からの移行などは契約によって費用が変わる。内蔵している製品は、製品の更新版や提供者の案内に従う
端末で「node -v」を実行すると、その端末で選ばれたNode.jsの版が表示される。コンテナの場合は、ホスト側のNode.jsを更新しても、コンテナ内のNode.jsまで置き換わったとは言えない
「npm update」で部品を更新することと、Node.js本体を更新することは別。「npm audit」で問題が0件と表示されても、実行中のNode.js本体が今回の修正版である証明にはならない
TLSの証明書検証を無効にして通信が通っても、今回の修正を適用したことにはならない。ファイルを更新したことと、動いていたプロセスが新しい版になったことは別に確認する
やることは3つ。自分が使う側か管理する側かを分け、Node.jsの使用場所を確認する。使用系列と導入方法に合う修正版を適用する。本番で動く版と、大切な機能の動作を確かめて記録する