Node.js 22・24・26に11月のセキュリティ更新 HTTP/2のDoSなどを修正

ティアB · 今週中にパッチ – 次のスプリントで対応

影響を受ける人： TLSやHTTP/2を直接処理するNode.jsサーバー

ティアBの理由：基幹インフラまたは人気ツールかつ認証不要のリモート攻撃

影響範囲

攻撃

被害

修正

人気ツール · 認証不要のリモート攻撃

取るべき対応

要点

TLSやHTTP/2をNode.jsで直接処理しているサーバーは影響を受けるため、該当する場合は修正版への早めの更新が必要になる。ロードバランサーやnginxの後ろで動かしている構成は、今回の高深刻度の不具合には届かないとされている。

チェックリスト · 10項目中3項目が「はい」

はい	開発者に影響	Node.jsは開発者や運用チームがサーバー開発に使う実行環境であるため、判断として影響する。
いいえ	基幹インフラ	Node.jsは広く使われるが、OpenSSHやLinuxカーネルのような全チーム共通の基盤ではなく、単一の実行環境である。
はい	人気ツール	Node.jsは多くのチームがWebアプリ開発で使う一般的な開発プラットフォームである。
いいえ	悪用確認済み	Qiita(11/14)は緊急更新と脆弱性の修正を伝えるが、攻撃が観測されたとの記述はない。
いいえ	公開エクスプロイト	Zenn(初学者向け解説)などは修正版への更新を勧めるのみで、公開されたエクスプロイトの記述はない。
はい	認証不要のリモート攻撃	CVSSCVE-2026-123863：CVSS 8.2（ネットワーク経由、特権不要、ユーザー操作不要）
いいえ	完全な乗っ取り	CVSSCVSS：機密性と完全性への影響がともに「高」のCVEはない
いいえ	シークレットの流出	HTTPSのメモリ漏えいは記載されるが、攻撃者がデータを実際に持ち出したとの記述はない。
いいえ	サプライチェーン	公式リリースの脆弱性修正であり、悪意あるコードの配布や署名鍵の侵害は報じられていない。
いいえ	修正なし	Impress Forest Watch(11/12)によると、v22.23.5、v24.22.3、v26.13.1として修正版が公開済みである。

CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。

初出：2日前 · ソース5件 · 記事ページ · ティアの決め方