Node.js のプロジェクトは、10月21日（水）またはその直後に、26.x・24.x・22.x の3系統でセキュリティ更新を出すと予告しました。修正される問題の重要度は、いずれの系統も最大で「HIGH」です。同じ時期に、24.x がメンテナンス期に入り、26.x が LTS に移る予定もあります。この記事では、予告の内容と、Node.js を使った開発・運用で今のうちに確かめておく点を整理します。
ニュースの概要
同プロジェクトは2026年10月14日、公式ブログで「Wednesday, October 21, 2026 Security Releases」を公開しました。セキュリティ上の問題を直すため、26.x・24.x・22.x の各系統の新しいバージョンを、10月21日（水）またはその直後に公開するとしています。
予告の時点では、問題の中身や件数は明らかにされていません。示されているのは、各系統で修正される問題のうち最も高い重要度が「HIGH」であることです。また、サポートが終わった（End-of-Life）バージョンは、セキュリティ更新が出るときには常に影響を受けると明記しています。
Node.jsのセキュリティ更新で何が変わるのか
予告の要点
- 対象の系統：26.x（Current）、24.x（LTS）、22.x（Maintenance LTS）
- 公開日：2026年10月21日（水）またはその直後（時刻の指定はなし）
- 重要度：3系統とも、修正される最も高い重要度は「HIGH」
- 件数・内容：予告の時点では非公開
- サポート切れのバージョン：常に影響を受けるとされ、リリーススケジュールに沿ってサポート中の最新の版を使うよう求めています
同じ時期のリリース予定の節目
Node.js の公式のリリーススケジュールでは、次の節目が近づいています（日付は予定で、変更の可能性があります）。
- 24.x（Krypton）：2026年10月20日にメンテナンス期へ移行。サポート終了は2028年4月30日
- 26.x：2026年10月28日に Active LTS へ移行。サポート終了は2029年4月30日
- 22.x（Jod）：メンテナンス期で、サポート終了は2027年4月30日
- 20.x（Iron）：2026年4月30日にサポート終了済み。25.x も2026年6月1日に終了済み
なお、10月14日には通常の更新として 24.22.0（LTS）と 26.12.0（Current）が公開されています。24.22.0 は crypto の新しい API などを加えた機能更新で、セキュリティ修正のリリースではありません。
読者への影響
Node.js でサーバーやビルドの環境を動かしている人は、使っている版としては、ほぼすべてが対象になります。開発用のパソコンだけでなく、本番のサーバー、CI（自動テスト）の実行環境、Docker のイメージ、ホスティングサービスのランタイム設定など、Node.js が入っている場所ごとに更新が必要になります。
特に注意が必要なのは、20.x や 25.x などサポートが終わった系統を使い続けている環境です。予告では、サポート切れのバージョンも影響を受けるとされていますが、サポート切れの系統には、プロジェクトからの修正版は出ません（有償の延長サポートを除く）。
一方、どの機能の問題なのかは21日の公開まで分かりません。HTTP サーバーとして外部から通信を受ける環境なのか、ビルドにだけ使う環境なのかで、急ぐべき度合いは変わります。最近の機能更新の例は、Node.js 26.11.0の変更点でまとめています。
確認すること
- 使っている系統を洗い出す：
node -vで確認できます。CI の設定ファイル、Dockerfile のベースイメージ、.nvmrc、package.jsonのenginesも合わせて確認します。 - サポート切れの系統を移行する：20.x 以前や 25.x を使っている場合は、移行を計画します。22.x は2027年4月30日にサポートが終わるため、移行先は 24.x か 26.x を基本に考えます。
- 21日以降すぐ更新できるよう準備する：テストを回して本番に出すまでの手順を確認し、公開後すぐに更新できるようにしておきます。
- 公開後に内容を読む：修正された脆弱性（CVE）の一覧と、影響を受ける機能を確かめ、自分の使い方に当てはまるかを判断します。
- 通知を受け取る：Node.js は、セキュリティのお知らせだけを流すメーリングリスト「nodejs-sec」への登録を案内しています。
筆者の見解
私見では、今回の予告で判断を分けるのは「急ぐかどうか」より「どの系統の修正版で受けるか」です。22.x は2027年4月30日にサポートが終わるため、20.x や 25.x からの移行先に選ぶと、半年ほどで再び移行が必要になります。また、21日の 26.x の修正版は、10月28日に Active LTS になる前の Current として出るため、本番ではまず 24.x の修正版で受け、26.x への移行は LTS になった後の別の作業として分けるほうが、一度に変わる範囲を小さくできると考えます。見落としやすいのは、Docker イメージのタグや CI の設定で Node.js の版を固定している場所で、ここは手で上げない限り修正が届きません。
出典（一次情報）
- Node.js：Wednesday, October 21, 2026 Security Releases
- Node.js Release Working Group：Release schedule
- Node.js：Node.js 26.12.0 (Current)
- Node.js：Node.js 24.22.0 (LTS)
2026年10月15日時点の情報です。
