B43/100
脆弱性 · 高 · CVSS 8.2
Node.js 22・24・26に緊急セキュリティ更新 HTTP/2のDoSなどを修正
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： HTTP/2やmTLSを使うNode.js 22・24・26の運用環境
ティアBの理由： 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃
影響範囲
攻撃
被害
修正
人気ツール · 認証不要のリモート攻撃
取るべき対応
- Node.js 22・24・26を修正版へ更新する
要点
- Node.js 22・24・26向けに緊急セキュリティ更新が公開された
- HTTP/2の認証不要なDoS、HTTPSのメモリ漏えい、mTLS認証回避などの脆弱性を修正した
- CVE-2026-123863などを含む複数のCVEが対象となる
なぜ重要か
HTTP/2やHTTPS、mTLSを使うNode.jsサーバーは、認証なしでサービス停止やメモリ漏えい、認証回避を受ける恐れがあるため、早急な更新が必要である。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | Node.jsは開発者やサーバー運用チームが使う実行環境であるため影響する。 |
| いいえ | 基幹インフラ | Node.jsは広く使われるが、OpenSSHやLinuxカーネルのような全チーム共通の基幹ソフトウェアではない。 |
| はい | 人気ツール | Node.jsは多くのチームが使う一般的な開発技術であるため該当する。 |
| いいえ | 悪用確認済み | Qiita: 記事は脆弱性の修正を報じるのみで、悪用の攻撃が観測されたとは述べていない。 |
| いいえ | 公開エクスプロイト | Qiita: 記事は修正の概要を伝えるのみで、エクスプロイトや概念実証の公開には触れていない。 |
| はい | 認証不要のリモート攻撃 | CVSSCVE-2026-123863：CVSS 8.2（ネットワーク経由、特権不要、ユーザー操作不要） |
| いいえ | 完全な乗っ取り | CVSSCVSS：機密性と完全性への影響がともに「高」のCVEはない |
| いいえ | シークレットの流出 | Qiita: HTTPSのメモリ漏えいを修正したとのみ報じられ、実際に情報が持ち出されたとは書かれていない。 |
| いいえ | サプライチェーン | Qiita: 正規ランタイムの通常の脆弱性修正であり、悪意あるコードの配布は報じられていない。 |
| いいえ | 修正なし | Qiita: 2026/11/12付で緊急セキュリティ更新が公開され、修正済みバージョンがある。 |
公式の記録
CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。
CVE-2026-123863 ↗CVSS 8.2 high AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Node.js is vulnerable to a remote HTTP/2 denial of service via a reachable assertion in Http2Session teardown
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は<1% · 全CVEの41%より高い
- 脆弱性の種類
- CWE-617
タイムライン
Node.js 22・24・26の緊急セキュリティ更新が公開される
Securityタグが付けられた新着記事 - Qiita
2026/11/14主にITとかセキュリティの記事
出典
2026/11/14主にITとかセキュリティの記事 ↗ Securityタグが付けられた新着記事 - Qiita · 4時間前