Node.jsの2026年11月11日のセキュリティリリース
Node.jsの2026年11月3日の予告によると、26.x・24.x・22.xの各系列の新しい版を11月11日かその後まもなく出し、脆弱性を修正する［1］。各系列で修正する問題のうち最も深刻なものの深刻度は、いずれもHIGHである［1］。
脆弱性の内容
11月4日には、oss-securityのメーリングリストに「Node.js security release pre-alert」の題で同じ予告が投稿された［2］。投稿は対象を22・24・26の系列とし、予告のページのURLを添えた［2］。
前回のセキュリティリリースは10月21日で、26.x・24.x・22.xの各系列を更新した［4］。扱ったCVEは10件あった［4］。深刻度はhighが4件で、残りはmediumとlowが3件ずつだった［4］。そのうちBrotliデコーダーの境界外書き込み（CVE-2026-111497）は、遠隔でのコード実行に至りうる［4］。
前回のリリースで出た版はv22.23.4、v24.22.1、v26.12.1である［4］。
対象の製品と版
Node.jsのリリースの一覧は、本番のアプリケーションにはActive LTSかMaintenance LTSの版だけを使うよう求めている［3］。
修正と回避策
Node.jsは予告で、セキュリティリリースがあるときサポート終了（End-of-Life）の版は常に影響を受けると説明し、リリースのスケジュールに沿った最新の版を使うよう求めた［1］。脆弱性とセキュリティ関連のリリースの知らせは、告知専用のメーリングリストnodejs-secで出すとした［1］。
7月のセキュリティリリースは、予告した日付から2回延びた［5］。7月27日の告知は、追加の試験と検証が要るとして公開を7月28日に延ばした［5］。翌日の告知は基盤の問題を理由に、さらに7月29日へ延ばした［5］。
未公表の事項
- 修正する脆弱性の件数とCVE番号
- 脆弱性のある機能と依存関係
- 系列ごとの修正版の版番号
- 悪用の有無
- サポートが終了したv20とv25の系列への修正版の提供
出典
当事者
- ［1］OpenJS Foundation『Wednesday, November 11, 2026 Security Releases』（2026年11月3日公開）
- ［2］OpenJS Foundation『Node.js security release pre-alert』（2026年11月4日公開）
背景資料
- ［3］OpenJS Foundation『Node.js Releases』（公開日不明、2026年11月5日閲覧）
- ［4］OpenJS Foundation『Wednesday, October 21, 2026 Security Releases』（2026年10月21日公開）
- ［5］OpenJS Foundation『Wednesday, July 29, 2026 Security Releases』（2026年7月29日公開）
更新記録
- 2026年11月5日：公開した。