この記事の目次
11月11日にNode.jsのセキュリティリリース、26・24・22系が対象
Node.jsプロジェクトは公式ブログで、2026年11月11日（水）かその直後に、26.x、24.x、22.xの3つのリリース系列の新バージョンを公開すると予告しました。修正される問題のうち最も重大度が高いものは「HIGH」です。系列ごとに見ても、26.x、24.x、22.xのいずれも最も高い重大度はHIGHとされています。
今回の予告に、個別のCVE番号や修正件数は載っていません。公式ブログの本文では、修正内容の項目が空欄になっており、何が修正されるのかは読み取れませんでした。分かっているのは、対象の系列、最高の重大度、公開予定日の3点です。
EOLのバージョンは影響を受けても、修正版の対象外
予告には、End-of-Life（EOL）のバージョンはセキュリティリリースのたびに影響を受ける、という注意書きがあります。使っているバージョンが最新のサポート対象かどうかは、Node.jsのリリース一覧（Release Schedule）で確認するよう案内されています。
同じ一覧では、2026年11月7日時点で次のような状態でした。
- v27：2026年10月29日に初版、Alpha
- v26（Lithium）：2026年5月5日に初版、最終更新は10月28日で、LTS
- v24（Krypton）：最終更新は10月27日で、LTS
- v22（Jod）：最終更新は10月20日で、LTS
- v25：最終更新は2026年3月31日で、EOL
- v20（Iron）：最終更新は2026年3月24日で、EOL
予告の対象は26・24・22の3系列で、v25とv20は含まれていません。これらはすでにEOLでサポート対象外のため、修正版は提供されないと考えられます。Alphaのv27も予告の対象に入っておらず、予告は27系に触れていません。
公開前にできる準備
修正版の中身が分かるのは公開後ですが、準備は予告の段階でできます。具体的には、次の点を確認しておくと当日の動きが速くなります。
- 本番・CI・開発環境のNode.jsのバージョン（
node -v）を洗い出す。 - Dockerのベースイメージが、
node:22のようなメジャー番号のタグなのか、node:22.23.4のようにパッチまで固定されているのかを確認する。 - EOLの系列（20系など）で動いているサービスがあれば、サポート対象の系列への移行計画を立てる。
- 公開予定日の11日（水）とその翌日に、更新と再デプロイの時間を確保する。
公式は、低頻度のアナウンス専用メーリングリスト「nodejs-sec」への登録を案内しています。公開の通知を取りこぼしたくない場合は、購読しておくとよいでしょう。
公開当日の更新の進め方
修正版が公開されたら、まず公式ブログの当日の記事で、どの系列のどのバージョンが修正版なのかを確認します。10月のリリースと同様なら、使っている系列の中でパッチバージョンを上げる形になり、メジャーバージョンをまたぐ必要はないはずです。ただし11月分は未公開なので、当日の公式の案内で確かめてください。
次に、ステージングや開発環境で、アプリケーションが通常どおり起動し、テストが通ることを確認してから本番へ反映します。Dockerを使っている場合は、ベースイメージを引き直して再ビルドし、実行中のコンテナを入れ替えるところまでが更新です。ビルドキャッシュが古いイメージを再利用していないかも、念のため見ておきたいところです。更新後は、node -vで実際に動いているバージョンを確かめてください。
前回（10月21日）との関係
Node.jsは2026年10月21日を公開予定日として、同じ26・24・22系を対象にしたセキュリティリリースを予告し、その後公開しています。内容はNode.js 26.12.1など公開、Brotliの脆弱性でRCEのおそれで整理しました。前回の公開からおよそ3週間で、再び最高重大度HIGHのセキュリティリリースが予定された形です。
公式は公開時期を「on, or shortly after（当日かその直後）」と書いており、日付が数日ずれることもありえます。
筆者の見方を書いておきます。セキュリティリリースの予告は、中身が分からないぶん「何をすればよいのか」が曖昧になりがちです。それでも、予告の時点でバージョンの棚卸しをしておくかどうかで、公開後の対応の速さは大きく変わると考えています。特にDockerイメージのタグをメジャー番号だけで指定しているプロジェクトは、再ビルドのタイミングで自然に新版になるのか、固定されたままなのかを確認しておく価値があります。逆に、修正の詳細が出る前に、根拠のない憶測で対応を急ぐ必要はありません。
参考にした公式情報
- Node.js公式ブログ「Wednesday, November 11, 2026 Security Releases」
- Node.js「Node.js Releases」（リリース一覧）
- Node.js公式ブログ「Wednesday, October 21, 2026 Security Releases」
2026年11月7日時点の情報です。
