Node.jsプロジェクトは10月21日（現地時間）、26.x、24.x、22.xの各リリースライン向けにセキュリティリリース（v26.12.1、v24.22.1、v22.23.4）を公開した。修正された脆弱性の最高深刻度は、いずれのリリースラインでも「高」。
深刻度「高」の脆弱性は4件ある。1件目は、dns.resolveがNUL文字を含む名前を切り詰める問題（CVE-2026-105482）である。2件目と3件目は、TLS証明書のホスト名検証が回避される問題で、IPアドレスが全角数字で記述された場合（CVE-2026-105483、26.x・24.xが対象）と、ホストがIPアドレスへ緩く解決される場合（CVE-2026-106069）が該当する。4件目は、Brotliデコーダーの境界外書き込みによりリモートコード実行が可能となる問題（CVE-2026-111497）である。
このほか、深刻度「中」3件、「低」3件も修正された。この中には、crypto.randomUUID()とrandomInt()のエントロピーキャッシュがスタートアップスナップショットやSEAに保存され、すべてのプロセスで同じ値が繰り返される問題や、Permission Modelの回避などが含まれる。
依存関係では、c-ares、ca-cert（eMudhra中間CAの侵害）、OpenSSL、SQLite、Undiciが更新された。なお、End-of-Lifeを迎えたバージョンは、セキュリティリリース時に常に影響を受けるとしている。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
