セキュリティ · 影響度：大ファンスコア 44 · ティア Bソース5件

Node.js 22 / 24 / 26 の脆弱性、自分のアプリが影響を受けるか確認する方法【2026年11月】

Zenn トレンド · 執筆：maya honey · 2日前

要点 · ソース5件をもとに作成

2026年11月11日（協定世界時）にNode.js 22・24・26系のセキュリティリリースが公開された
修正された脆弱性は16件で、深刻度はHighが7件、Mediumが6件、Lowが3件
Highの多くはNode.js自身がTLSやHTTP/2を処理する構成で起きる不具合で、HTTP/2の認証不要DoSやmTLS認証回避などが含まれる

なぜ重要か

TLSやHTTP/2をNode.jsで直接処理しているサーバーは影響を受けるため、該当する場合は修正版への早めの更新が必要になる。ロードバランサーやnginxの後ろで動かしている構成は、今回の高深刻度の不具合には届かないとされている。

影響を受ける人

Node.js 22・24・26系を本番で運用している開発者
Next.jsやNestJSでサーバーを動かしている開発者（Node.jsで直接HTTP/2やTLSを処理している場合）

取るべき対応

Node.jsをv22.23.5、v24.22.3、v26.13.1以上に更新する
Node.jsでTLSやHTTP/2を直接処理しているか構成を確認する

Node.js v22.23.5
Node.js v24.22.3
Node.js v26.13.1
CVE-2026-123863
#セキュリティ
#Node.js
#HTTP/2
#脆弱性
#TLS

Next.js や NestJS でアプリを書いていて、「Node.js の脆弱性が公表されたけれど、自分のアプリは対象なのか」を自分で判断したい人に向けた記事です。 2026年11月11日に、Node.js 22・24・26 系のセキュリティリリースが公表されました。深刻度が High の 7 件は、ロードバランサーや nginx の後ろで Node.js を動かしている構成には届きません。 TL;DR 今回の High の 7 件は、Node.js が自分で暗号化の通信（TLS）や HTTP/2 を処理しているときに起きる不具合でした。…

zenn.devで記事全文を読む ↗