- 会員限定
- 2026/11/12 17:14 掲載
Node.jsに深刻度「high」の脆弱性7件 認証なしでサーバ停止、TLS秘密鍵の漏えいも
Node.jsプロジェクトは11月11日（米国時間）、26.x、24.x、22.xの3系統向けにセキュリティ更新版を公開した。深刻度「high」7件を含む計16件を修正し、認証なしでのサーバ停止やTLS秘密鍵を含むメモリ漏えいの恐れに対処した。修正版はv26.13.1、v24.22.3、v22.23.5。うち5件はAnthropic Researchとの協力で報告された。
（出典：Node.jsプロジェクト）
「high」のうち、HTTP/2では、認証不要のクライアントがサーバのプロセスを異常終了させられる不具合（CVE-2026-123863）などが見つかった。TLSサーバでも、ハンドシェイク処理の不具合（CVE-2026-126051）により、リモートから認証なしでプロセスを終了させられるという。
情報漏えいにつながるものもある。HTTPSの不具合（CVE-2026-123864）では、認証なしのクライアントが他の接続のメモリを読み取れる恐れがあり、TLS秘密鍵や他のユーザーのリクエストが含まれうるとしている。特定の条件を満たすハンドラが前提で、平文のnode:httpは影響を受けない。HTTP/2では、ストリームの終了処理で解放済みのメモリが相手に送られる不具合（CVE-2026-123866）も修正された。
TLS 1.2の再ネゴシエーションを悪用し、クライアント証明書による認証を回避できてしまう不具合（CVE-2026-123872）も「high」に分類された。ホスト名ごとに証明書の認証ポリシーを分けているサーバが対象となる。
報告者は、Chris Rohlf氏がAnthropic Researchと協力して報告したものが5件。Trail of Bits（OpenAI）が報告したものも1件ある。
Node.jsプロジェクトは、サポートが終了した版はセキュリティ更新のたびに常に影響を受けるとして、最新の版を使うよう呼びかけている。
では、なぜNode.jsでは、いったん直したはずの穴を突く脆弱性が、わずか3週間のうちに相次いだのか。背景には、過去の修正の取りこぼしを示す事例の数々と、構成次第で認証の回避につながる落とし穴がある。
Node.js、2度のセキュリティ更新の中身を比べる
（出典：Node.jsプロジェクトの告知をもとに作成）
この記事の続き ＞＞
・10月の更新と比べた、領域別の件数と傾向
・直したはずの穴が再び開いた事例の中身
・ログや証明書認証まわりで確認したい構成
・10月の更新と比べた、領域別の件数と傾向
・直したはずの穴が再び開いた事例の中身
・ログや証明書認証まわりで確認したい構成
今すぐビジネス＋IT会員に
ご登録ください。
新規登録キャンペーン実施中
Amazonギフト券5,000円分
毎月抽選20名様にプレゼント
対象：期間中、上の「今すぐ登録（無料）」ボタンから
プレミアム会員にご登録いただいた方
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
ASM・CTEM・脆弱性診断・レッドチームのおすすめコンテンツ
Googleで見つけやすく
共有する
-
0
-
0
-
0
-
0
-
0
関連タグ
タグをフォローすると最新情報が表示されます
あなたの投稿
PR
PR
PR
