Node.jsが脆弱性16件を修正、HTTPSで秘密鍵が漏れうる問題も

Node.jsは2026年11月11日、予告していたセキュリティリリースを公開しました。修正された脆弱性は16件で、重大度の内訳はHighが7件、Mediumが6件、Lowが3件です。修正版は26系がv26.13.1、24系がv24.22.3、22系がv22.23.5で、どの系統も最も高い重大度はHighです。HTTPSサーバーで別の接続のメモリ（TLSの秘密鍵を含む）が漏れうる問題も含まれるので、Node.jsでHTTPSやHTTP/2のサーバーを動かしている人は、早めに修正版へ上げておきたい内容です。

修正版はv26.13.1・v24.22.3・v22.23.5

公式のセキュリティリリースのページで示された、系統ごとの修正版は次のとおりです。

  • 26.x（LTS）：v26.13.1
  • 24.x：v24.22.3
  • 22.x：v22.23.5

脆弱性ごとに影響する系統が違い、22系には当てはまらないものもあります。また、ページでは「サポートが終わった（EOL）版は、セキュリティリリースのたびに常に影響を受ける」としていて、サポート中の版に上げるよう求めています。サポートが切れた系統を使い続けている場合は、今回の修正は届きません。26系のLTS入りについては、Node.js 26がLTSに移行した記事にまとめています。

HTTPSで別の接続のメモリが漏れるCVE-2026-123864

High 7件の中で特に影響が大きいのが、CVE-2026-123864です。HTTPSで長さ0のTLS書き込みが起きると llhttp_execute() が再入し、解放済みメモリの使用（use-after-free）と範囲外のヒープ読み取りにつながります。その結果、認証していないクライアントが、ほかの接続のメモリをリクエストボディとして受け取れてしまう、と説明されています。漏れうる内容にはTLSの秘密鍵も含まれます。22・24・26の全系統が対象で、暗号化しない node:http のサーバーは影響を受けません。

v26.13.1のリリースノートでは、この修正は「空の書き込みによる入れ子のパーサー実行を防ぐ」変更として記載されています。HTTPSを直接Node.jsで終端している構成ほど、優先して更新したい修正です。

HTTP/2とTLSにHighが集中

残りのHighも、多くがHTTP/2とTLSまわりです。

  • CVE-2026-123863：ストリームがセッションより長く残ると、認証なしのクライアントがサーバーを異常終了させられる（24・26系）
  • CVE-2026-123865：接続の終了中にプロトコルエラーを起こすと、HTTP/2セッションが片付けられず、メモリとファイルディスクリプタが漏れ続ける（全系統）
  • CVE-2026-123866：背圧がかかった状態でストリームを破棄すると、解放済みのメモリが相手に送られうる（全系統）
  • CVE-2026-126051：TLSサーバーの遅延したハンドシェイクのコールバック（SNICallback など）で、リモートから捕捉されない例外を起こせる（24・26系）
  • CVE-2026-123872：TLS 1.2の再ネゴシエーションでservernameを変え、クライアント証明書の認証を回避できる（全系統）
  • CVE-2026-123874：respondWithFile() のストリームが書き込み中にリセットされると、解放済みの Http2Stream を参照する（24・26系）

Mediumには、長いoriginを渡したときの session.altsvc() のヒープバッファオーバーフロー、maxSessionMemory で抑えきれないHTTP/2の受信データ、プロキシの認証情報がエラーメッセージに出る問題、https.Agent のTLSセッションの使い回しによる証明書検証の回避などが並びます。Lowの3件は、Permission Modelやzlibに関するものです。

自分の環境で確認したいこと

まずは node -v で動いているバージョンを確かめ、上の修正版より古ければ更新します。Dockerの公式イメージやバージョン管理ツールを使っている場合は、タグやlockファイルで固定しているバージョンも見直しが必要です。

特に、HTTP/2の respondWithFile() や respondWithFD() でファイルを配信している、SNIごとに証明書やCAを切り替えている、mTLS（クライアント証明書）で接続先を制限している、といった構成は、該当する脆弱性が複数あります。HTTPSやHTTP/2の処理を前段のロードバランサーやリバースプロキシに任せている構成では影響が小さくなる場合もありますが、Node.js自体がTLSを終端しているかは構成ごとに確かめてください。なお、v26.13.1ではllhttpやundiciなどの依存ライブラリも更新されています。

AIを使った調査で見つかった脆弱性も多い

今回の一覧で目を引くのは報告者の欄です。CVE-2026-123864を含む5件が「Chris Rohlf in collaboration with Claude and Anthropic Research」の報告とされていて、AIを使った調査で見つかった脆弱性がまとまって修正されています。HTTP/2やTLSのように状態の組み合わせが多い部分は、人の目だけでは見落としやすい領域です。個人的には、こうした調査が広がるほど、今回のような一度に16件といった規模のリリースが続く可能性があると見ています。予告から公開までの期間は短いので、Node.jsの更新は「予告が出たら検証環境の準備を始める」くらいの運用にしておくと、慌てずに済むと考えます。11月7日の予告の内容はNode.jsのセキュリティリリース予告の記事にまとめています。

出典

2026年11月12日時点の情報です。

PR当サイトはアフィリエイト広告を利用しています。掲載内容は広告主から依頼・指示を受けたものではなく、筆者の調査・体験にもとづきます。
タイトルとURLをコピーしました