Node.js 26がLTSに移行、26.13.0は2029年4月末まで

Node.jsは2026年10月28日、26.x系をLTS（長期サポート）に移行する「Node.js 26.13.0」を公開しました。公式のリリースページによると、このリリースは26.x系のLTS移行を示すためのもので、メタデータの更新を除けば、10月21日に出た26.12.1からの変更はありません。同じ日には24系のLTSである24.22.2も公開されています。本番で使うNode.jsのバージョンを決める人にとっては、26系がLTSの枠に入ったという知らせです。

この記事の目次

26.13.0は中身の変更なし、LTSへの切り替えが目的
リリース一覧で見る各系列の状態と、24.22.2の中身
26系へ移る前に確かめる5点
10月21日のセキュリティリリースとの関係
出典

26.13.0は中身の変更なし、LTSへの切り替えが目的

公式のリリースページに載っている26.13.0の内容を整理します。

リリース日は2026年10月28日、コードネームは「Lithium」で、種別はLTS
サポート期間は2029年4月末まで
26.12.1（Current）からの変更は、process.release などのメタデータ更新を除いてなし
Node.js 25以降、公式のLinuxバイナリは libatomic にリンクされている。ディストリビューションによっては別途インストールが必要になる場合があり、24以前のLTSから移行するときは確認が必要

リリースページによると、LTS化に合わせて process.release のメタデータが更新されています。node -p "process.release.lts" を実行すると、LTS版ではコードネームが表示されます（コマンドの出力はリリースページには書かれていません）。

リリース一覧で見る各系列の状態と、24.22.2の中身

Node.jsのリリース一覧（previous-releases）では、v26の初回リリースは2026年5月5日、最終更新は10月28日で、ステータスはLTSになっています。v24（コードネーム Krypton）とv22（Jod）もLTSで、v20はEOL（サポート終了）です。なお、この一覧のv26のコードネーム欄は「-」になっており、リリースページの「Lithium」とは表記が揃っていません。コードネームを使うスクリプトなどは、念のため実際の表示を確認してください。

10月28日の24.22.2は、同ページによるとV8エンジンのバックポートが中心で、stream（保留中の書き込みで非同期コンテキストを保持する）の変更が1件入っています。ページ上にセキュリティ修正の明示はありません。

26系へ移る前に確かめる5点

公式の一覧には、v27以降はリリースサイクルが年次になり、各メジャーバージョンは6か月のAlpha期間と6か月のCurrent期間を経てLTSへ移行するとの記載があります。また、LTSは重大なバグの修正が合計30か月間保証されるのが一般的で、本番ではActive LTSまたはMaintenance LTSを使うべきだと書かれています。10月28日の時点で、26系は公式が本番向けとするLTSの枠に入ったと筆者は受け止めています（一覧の表示は「LTS」で、Active LTSかどうかまでは書かれていません）。

実際に移行を考えるときは、次の点を順に確認すると進めやすくなります。

いま使っているバージョンが何か（node -v）。22系や24系も、一覧ではLTSのままです
10月21日のセキュリティリリース（22.23.4、24.22.1、26.12.1）以降のバージョンか。26.13.0は26.12.1と同じ内容なので、26系なら26.12.1以上（26.13.0を含む）であれば足ります
使っているライブラリが26系に対応しているか。依存パッケージの動作確認は、時間がかかりやすい部分です
Linuxで動かす場合、libatomicの有無（Node.js 24以前から上げるとき）
CIやDockerイメージのタグ。node:lts のように追従するタグは、26系に切り替わる可能性があります

最後の点は筆者の推測を含みます。公式のリリースページには、各ツールのLTSタグが切り替わるタイミングは書かれていません。

今回の26.13.0は中身が26.12.1と同じなので、「LTSになったから上げる」というより、「どの系列にいつ移るか」を決める合図として受け止めるのがよさそうです。26系のサポートは2029年4月末までとされているため、この期限を基準に、次の移行先を計画しておくと慌てずに済みます。また、一覧ではv26のコードネーム欄がまだ「-」なので、process.release.lts の値で分岐しているCIスクリプトがあれば、26.13.0で実際にコードネームが返るかを一度確かめておくと安心です。

10月21日のセキュリティリリースとの関係

10月21日のセキュリティリリース（22.23.4、24.22.1、26.12.1）では、公式の告知によると計10件の脆弱性が修正されました（High 4件、Medium 3件、Low 3件）。このうち、Brotliデコーダの範囲外書き込みでリモートコード実行の恐れがあるもの（CVE-2026-111497）は、node:zlibで信頼できないBrotliデータを展開するアプリが対象です。告知は、EOL版は常に影響を受けるとしたうえで、最新版の利用を呼びかけています。

26系を使っている場合、LTS移行のために新しい修正が追加されるわけではありません。セキュリティ面で重要なのは、26.12.1以上であることです。すでに26.12.1を使っているなら、LTSへの切り替えを理由に慌てて更新する必要はなく、運用中のバージョン管理の方針に合わせて、次の定期更新で26.13.0に揃えれば足ります。