- 会員限定
- 2026/10/22 13:25 掲載
Node.jsでも26.xなど3系統で最高重要度含む脆弱性 PHPだけではない高利用実行環境
Node.jsプロジェクトは10月21日、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開した。修正した脆弱性は10件で、公式の評価では最高重要度のHighが4件、Mediumが3件、Lowが3件だった。Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性も含まれるという。
（出典：Node.js）
Highの4件のうち、Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性（CVE-2026-111497）は、26.x、24.x、22.xのすべてが対象。公式の告知は、悪用の条件や回避策、悪用状況については記載していない。
残るHighは、dns.resolveがNUL文字を含む名前を切り詰める問題（CVE-2026-105482）と、TLS証明書のホスト名検証をバイパスできる2件。1件は全角数字で書いたIPアドレスによるもの（CVE-2026-105483、26.xと24.x）、もう1件はホスト名がIPアドレスに緩く解決される場合のもの（CVE-2026-106069、26.x、24.x、22.x）だ。
Mediumは3件。keep-aliveソケットがリクエスト送信前に書き込まれたレスポンスを処理する問題（CVE-2026-105481）、非正規形のIPv4ホスト名でDNS SANがIPエンドポイントを認証できてしまう問題（CVE-2026-106072）、crypto.randomUUID()とrandomInt()のエントロピーキャッシュがスナップショットやSEAに保存され、全プロセスが同じ値を繰り返す問題（CVE-2026-106074）だ。
Lowの3件は、ZIPヘッダーの検証に失敗したあとで攻撃者が制御するプレフィックスのバイトが返る問題（CVE-2026-106070、26.xのみ）、パーミッションモデルがワイルドカードのradix検索でファイルシステムの権限を過剰に付与する問題（CVE-2026-106071、26.xのみ）、fs.realpathSyncによるパーミッションモデルのバイパス（CVE-2026-106073）。
あわせて、c-ares、ca-cert（eMudhraの中間CAの侵害）、OpenSSL（24.xと22.x）、SQLite（22.x）、Undiciの依存関係も更新した。公式は、サポート終了（EOL）版はセキュリティリリースのたびに影響を受けると注意している。
PHPでも同じ10月21日、認証なしでコードを実行されるおそれがある脆弱性2件を修正した更新版が公開され、重大な脆弱性をめぐって一部のWebサイトが一時停止する事態にもなった。
では、Node.jsの10件の修正は、どこに集中していたのか。公式の告知と各版の更新内容を突き合わせると、修正の偏りが浮かび上がる。
Node.jsの10月21日の修正10件、領域別の内訳
（出典：Node.jsプロジェクトの公式告知、各版の更新内容をもとに作成）
この記事の続き ＞＞
・10件のうち4件が集中する「名前とIP」の領域とは
・唯一リモートコード実行とされたBrotliの件、公開情報の限界
・系統ごとに違う影響件数と、残された焦点
・10件のうち4件が集中する「名前とIP」の領域とは
・唯一リモートコード実行とされたBrotliの件、公開情報の限界
・系統ごとに違う影響件数と、残された焦点
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
ASM・CTEM・脆弱性診断・レッドチームのおすすめコンテンツ
Googleで見つけやすく
共有する
-
0
-
0
-
0
-
0
-
0
関連タグ
タグをフォローすると最新情報が表示されます
あなたの投稿
PR
PR
PR
