Node.jsに複数の脆弱性（JPCERT/CC Weekly Report）

JPCERT/CCは、Node.jsに複数の脆弱性があると公表した。Node.jsの複数のリリースラインに影響し、修正版への更新が必要とされている。

脆弱性の詳細

JPCERT/CCのWeekly Reportでは、Node.jsに複数の脆弱性があることが案内されている。Node.jsプロジェクトは、複数の脆弱性を修正するセキュリティリリースを公開しており、影響するリリースラインは25.x、24.x、22.x、20.xとされている。今回の修正内容には、HTTP/2処理に関するメモリー枯渇によるサービス妨害（DoS）、解放済みメモリ参照（use-after-free）、パーミッションモデルの不備、URL処理やHMAC検証、メモリリークなどが含まれる。

CVE番号・CVSSスコア：本記事で確認できる範囲では、CVE-2026-21637およびCVE-2026-21710などが修正対象として報じられている。詳細なCVE一覧やCVSSスコアは、参照先のアドバイザリ本文で確認する必要がある。

攻撃ベクタ：HTTP/2処理やHTTPリクエスト処理、パーミッションモデル、WebCrypto、URL処理など、Node.jsの各機能に関連する複数の経路で脆弱性が確認されている。特に、HTTPリクエスト処理では「__proto__」ヘッダを含むリクエストによりTypeErrorが発生し、プロセス停止につながるおそれがあるとされる。

悪用リスク：脆弱性の内容によっては、サービス妨害、メモリー破壊、情報漏えい、権限の不正利用につながる可能性がある。Node.jsを利用したWebアプリケーション、API、CI/CD基盤、開発用ツールなどは影響を受ける可能性があるため、利用状況の確認が必要である。

影響を受ける製品・バージョン

• Node.js（25.x、24.x、22.x、20.xの各リリースライン）

推奨される対策

• 修正版への更新：Node.jsプロジェクトが公開したセキュリティリリースを適用し、影響を受けるリリースラインを修正版へ更新する。
• 利用箇所の棚卸し：本番環境だけでなく、開発環境、CI/CD、コンテナイメージ、ビルド環境、運用スクリプトに含まれるNode.jsの利用有無を確認する。
• 影響範囲の確認：HTTP/2、HTTPリクエスト処理、パーミッションモデル、WebCryptoなど、該当機能を利用しているかを確認し、優先度を付けて更新する。
• 一時的なリスク低減：更新までの間は、外部公開経路の制限、不要機能の停止、権限最小化、ログ監視の強化などで影響を抑える。

日本の中小企業が今すぐ取るべき行動

• 優先1：Node.jsの利用有無を即時確認（本番、開発、CI/CD、コンテナ基盤を含む）
• 優先2：該当リリースラインの特定と更新計画の確定（25.x、24.x、22.x、20.xを重点確認）
• 優先3：外部公開サービスの防御強化（到達制御、不要経路の閉鎖、監視強化）
• 優先4：ログの保全と異常検知（エラー急増、異常なHTTPリクエスト、プロセス停止の有無を確認）
• 優先5：委託先・外部サービスの確認（Node.js利用の有無と更新状況を把握する）

CSRIセキュリティ専門家の見解

Node.jsの脆弱性対応では、本番環境の更新だけでなく、CI/CDやビルド用イメージ、運用スクリプトに残る古いバージョンの見落としが問題になりやすい。特にコンテナ運用では、ベースイメージに古いNode.jsが含まれていないかまで確認することが重要である。

参照: Weekly Report: Node.jsに複数の脆弱性