2026年10月21日、JavaScriptでサーバー側の処理を動かす仕組み「Node.js」の開発チームが、脆弱性（＝システムの安全上の欠陥）10件を直す修正版を公開しました。このうち4件は、Node.jsの基準で深刻度が「高（High）」とされ、遠隔から任意のプログラムを実行されるおそれがあるもの（CVE-2026-111497）も含まれています。
Node.jsは、Next.jsやNuxt、Expressなど、多くのWebサービス・業務システムの土台として使われています。
「うちの予約サイトはNext.jsで作ってもらったと聞いている。Node.jsの脆弱性って関係あるの？何をすればいい？」
先に結論をお伝えします。Next.js・Nuxt・Expressなどで作ったシステムは、Node.jsの上で動いていることが多いため、関係がある可能性が高いと考えて確認しましょう。今やるべきことは、「自社のシステムがどのバージョンのNode.jsで動いているか」「Node.jsの更新は誰が行うか」を開発会社に確認し、修正版（22.23.4・24.22.1・26.12.1）への更新の予定を決めることです。Node.js 20以前で動いているシステムには修正版が出ないため、バージョンアップの相談が必要です。
この記事では、公式発表の要点、Node.jsと代表的なフレームワークの関係、発注者が開発会社に確認したいことを、チェックリストと質問例つきで解説します（内容は2026年10月21日時点の情報に基づきます）。
Node.jsの脆弱性10件、公式発表の要点
Node.jsの開発チームは、2026年10月21日にセキュリティ修正版を公開しました。
📰 出典：Node.js「Wednesday, October 21, 2026 Security Releases」
| 項目 | 公式発表の内容 |
|---|---|
| 修正された脆弱性 | 10件（深刻度「高」4件・「中」3件・「低」3件） |
| 修正版 | 26.12.1／24.22.1／22.23.4 |
| 対象 | 26系・24系・22系（脆弱性ごとに対象は異なる） |
| サポートが終わったバージョン | 「サポートが終わったバージョンは、セキュリティリリースのたびに常に影響を受ける」と明記 |
| 部品の更新 | 中で使っている部品（OpenSSL・c-ares・Undici・SQLiteなど）の更新や、侵害が明らかになった認証局（eMudhra）の中間証明書への対応も含む |
📰 出典：Node.js「Node.js 22.23.4 (LTS)」
📰 出典：Node.js「Node.js 24.22.1 (LTS)」
深刻度「高」の4件
| CVE番号 | 内容（筆者による要約） | 影響を受ける系列 |
|---|---|---|
| CVE-2026-111497 | 圧縮データ（Brotli形式）を展開する処理の欠陥で、遠隔から任意のプログラムを実行されるおそれがある | 26・24・22 |
| CVE-2026-106069 | 暗号化通信（TLS）で接続先を確かめる処理の欠陥で、相手のなりすましを見抜けないおそれがある | 26・24・22 |
| CVE-2026-105483 | 同じく暗号化通信で、特殊な書き方のIPアドレスを使うと接続先の確認をすり抜けられるおそれがある | 26・24 |
| CVE-2026-105482 | 名前解決（DNS＝ドメイン名からサーバーの場所を調べる仕組み）で、特殊な文字を含む名前が途中で切られ、意図しない問い合わせになるおそれがある | 26・24・22 |
ほかに「中」の3件（通信の応答の取り違え、証明書の確認の不備、乱数が毎回同じ値になる問題）と、「低」の3件（ZIPファイルの読み込み、権限機能のすり抜け）が修正されています。「中」「低」の一部は、特定の機能を使っている場合だけ関係するものです。
執筆時点では、CVEの公式データベース（CVE.org）にこれらの番号の詳しい記録はまだ公開されていません。また、Node.jsの発表では、実際に悪用されたかどうかには触れていません。米国CISAの「悪用が確認された脆弱性」の一覧（KEV）にも、執筆時点では載っていません。
📰 出典：CISA「Known Exploited Vulnerabilities Catalog」（GitHub上のデータ）
CVE番号の読み方は、次の記事で解説しています。
Node.jsとは？Next.js・Nuxt・Expressなど代表的なフレームワークとの関係
Node.jsは、もともとブラウザの中で動く言語だったJavaScriptを、サーバーの上でも動かせるようにする仕組み（実行環境）です。画面を作ったり、データベースとやり取りしたり、外部のサービスと通信したりする処理を、サーバー側で行います。
Next.jsもNuxtも「Node.jsの上」で動いている
Next.jsやNuxtのようなフレームワーク（＝システムを効率よく作るための部品と決まりごとの集まり）は、多くの場合、Node.jsの上で動きます。つまり、どのフレームワークを使っていても、土台のNode.js本体に欠陥があれば影響を受ける可能性があるということです。
代表的なものと、求められているNode.jsのバージョンは次のとおりです（執筆時点の最新版。各パッケージの登録情報による）。
| 名前 | 主な用途 | 求められるNode.jsのバージョン |
|---|---|---|
| Next.js（16） | Webサイト・Webサービス | 20.9以上 |
| Nuxt（4） | Webサイト・Webサービス | 22.22.3以上（22系）／24.15以上（24系）／26以上 |
| Express（5） | API・業務システムのサーバー側 | 18以上 |
| NestJS（12） | 業務システム・API | 20以上 |
| Astro（7） | コーポレートサイト・メディア | 22.22以上 |
| SvelteKit（3） | Webサイト・Webサービス | 22.17以上 |
📰 出典：npm（next・nuxt・express・@nestjs/core・astro・@sveltejs/kit の各パッケージの登録情報）
ここで大事なのは、フレームワークを最新にしても、Node.js本体の更新は別に必要だという点です。今回はNode.js本体の欠陥なので、Next.jsやNuxtのアップデートだけでは対応になりません。サーバーで動いているNode.jsそのものを修正版に更新する必要があります。
なお、Node.jsで「作るときだけ」使い、公開しているのは出来上がったHTMLなどのファイルだけ、というサイトもあります（静的サイト）。この場合、公開中のサーバーではNode.jsが動いていないため、今回の影響は小さいと考えられます（筆者の見解）。自社のサイトがどちらの作りかは、開発会社に確認してください。
Node.js 20までしか動かない・動かないことがあるもの（Angular 17以前・node-sass など）
Node.jsのフレームワークの多くは「このバージョン以上」という下限だけを示していて、PHPのフレームワークのように「このバージョンまで」という上限を公式に決めていることはあまりありません。そのため、Node.jsを新しくしても、そのまま動くことが多いのが特徴です。ただし、次のものは例外です。後で説明するとおり、Node.js 20以前には今回の修正版が出ないため、当てはまるシステムはNode.jsと一緒にフレームワークや部品のバージョンアップも必要になります。
公式に、対応するNode.jsの上限が20以下のもの
| 名前 | 対応するNode.jsの上限が20以下のバージョン | 補足 | 目安（このころまでに作られ、その後更新していないシステム） |
|---|---|---|---|
| Angular | 17以前 | 17は20まで、16・15は18まで、14は16まで。Node.js 22に対応したのは18から | 2024年前半ごろまで（18は2024年5月公開） |
| node-sass（画面の見た目を作る部品） | 全バージョン | 対応はNode.js 20まで。2024年7月に開発・サポートが終了しており、後継の部品（Dart Sass）への置き換えが必要 | この部品を今も使っているプロジェクト |
📰 出典：Angular「Version compatibility」
📰 出典：node-sass「README」（Node.jsのバージョンごとの対応表）
📰 出典：Sass「Node Sass is end-of-life」（2024年7月24日）
公式な上限はないが、新しいNode.jsで動かないことがあるもの
| 名前 | 状況 | 目安 |
|---|---|---|
| Create React App | React公式が2025年2月に非推奨とし、ほかのフレームワークやビルドの道具への移行を勧めている | Reactで2024年ごろまでに作られた画面 |
| Vue CLI | 保守だけを続ける状態（メンテナンスモード）で、新しいプロジェクトには別の道具（create-vue・Vite）を勧めている | Vueで2022年ごろまでに作られた画面 |
| Nuxt 2 | 2024年6月30日でサポート終了 | Nuxtで2023年ごろまでに作られたシステム |
📰 出典：React「Sunsetting Create React App」（2025年2月14日）
📰 出典：Vue CLI 公式サイト
📰 出典：Nuxt「Nuxt 2 End-of-Life (EOL)」
これらの古い道具は、後で説明する暗号化まわりのエラーなどで、Node.js 17以降では追加の設定なしに動かないことがあります。ただし、どのバージョンから動かないかを示す公式の表はありません。「目安」は筆者がおおよその時期を示したもので、実際に使っているバージョンや動くかどうかは、開発会社に確認してください。
Node.js 20以前には修正版が出ない
Node.jsは、バージョンごとにサポート期間が決まっています。今回の修正版が出たのは、サポート中の22系・24系・26系だけです。
| Node.jsのバージョン | 今回の修正版 | サポートの状況（執筆時点） |
|---|---|---|
| 26系 | 26.12.1 | 10月28日に長期サポート版（LTS）になる予定。2029年4月30日まで |
| 24系 | 24.22.1 | 長期サポート版（保守期間）。2028年4月30日まで |
| 22系 | 22.23.4 | 長期サポート版（保守期間）。2027年4月30日まで |
| 25系・23系 | なし | サポート終了（25系は2026年6月1日、23系は2025年6月1日） |
| 20系 | なし | サポート終了（2026年4月30日） |
| 18系以前 | なし | サポート終了（18系は2025年4月30日） |
📰 出典：Node.js「Node.js Releases」
📰 出典：nodejs/Release「schedule.json」（各バージョンのサポート期限）
Node.jsの公式サイトは、本番環境では長期サポート版（Active LTSまたはMaintenance LTS）だけを使うよう案内しています。Node.js 20以前や25系・23系で動いているシステムは、修正版を当てることができず、Node.jsのバージョンアップが必要です。
古いNode.jsからのバージョンアップは「当てるだけ」で済まないことがある
同じ系列の中での更新（たとえば22.23.3から22.23.4）なら、多くの場合は入れ替えるだけで済みます。一方、系列をまたぐバージョンアップ（たとえば18系から22系）では、使っている部品が新しいNode.jsに対応していないと、動かなくなることがあります。
たとえばNode.jsは17系で暗号化の部品（OpenSSL）を3.0に切り替えた際、「古い方式を使う部品があると、ERR_OSSL_EVP_UNSUPPORTED というエラーで動かなくなることがある」と案内していました。数年前に作ったシステムでは、Node.jsだけでなく、フレームワークや部品のバージョンアップもあわせて必要になる場合があります。
📰 出典：Node.js「Node.js 17.0.0 (Current)」
フレームワーク自体のサポートが終わっている場合もあります。たとえばNuxtの2系は、2024年6月30日でサポートが終了しています。
📰 出典：Nuxt「Nuxt 2 End-of-Life (EOL)」
フレームワークのバージョンアップの費用の考え方は、次の記事も参考にしてください。
発注者にとって何が変わるか／変わらないか
ここからは、公式発表をもとにした筆者の見解です。
変わらないこと：今すぐシステムを止める段階ではない
執筆時点では、今回の脆弱性が実際に悪用されたという公式の報告は出ておらず、修正版もすでに公開されています。同じ日に修正版の公開が予告されたPHPの脆弱性では、サイトの一時停止を検討する動きも出ましたが、今回は修正版を当てることが対応の中心になります。
ただし、遠隔から任意のプログラムを実行されるおそれがある脆弱性（CVE-2026-111497）も含まれているため、通常の定期メンテナンスを待たず、早めに更新するのが安心です。今後、悪用が確認された場合は、急ぎの対応が必要になります。
変わること1：Node.jsの更新を誰が行うかで、やることが変わる
Node.jsの更新を誰が行うかは、システムをどこで動かしているかによって変わります。
| 動かしている場所 | Node.jsを更新するのは主に誰か |
|---|---|
| Vercelなどのホスティングサービス | サービス側（Vercelは、修正が必要なときに同じ系列の新しい版へ自動で切り替えると案内。ただし古い系列を選んでいる場合は、系列の見直しが必要になることがある） |
| AWS Lambda（管理されたランタイム） | 初期設定ではAWSが自動で更新（設定を変えている場合や、サポートが終わった nodejs20.x などは対象外になりうる） |
| コンテナ（Docker・AWS ECSなど） | 開発会社（新しいNode.jsでコンテナを作り直して入れ替える必要がある） |
| VPS・自社のサーバー | サーバーを管理している開発会社、または自社の担当者 |
📰 出典：Vercel「Supported Node.js versions」
📰 出典：AWS「Lambda runtimes」
📰 出典：AWS「Understanding how Lambda manages runtime version updates」
AWS Lambdaの nodejs20.x は2026年4月30日に非推奨（deprecated）になっており、AWSは非推奨になったランタイムにはセキュリティ修正が当たらない場合があると説明しています。「サービスにお任せだから大丈夫」と思っていても、選んでいるバージョンが古ければ更新されないことがある点に注意しましょう。AWS Lambdaで動かす構成については、次の記事も参考にしてください。
変わること2：Node.js 20以前のシステムは、作業と費用が大きくなりうる
サポート中のNode.jsなら、同じ系列の修正版に入れ替えるだけで済むことが多いです。一方、Node.js 20以前で動いているシステムは、系列をまたぐバージョンアップと、それにあわせたフレームワークや部品の更新、動作確認が必要になることがあります。見積もりやスケジュールの判断のしかたは、次の記事も参考にしてください。
「まずは『今どのNode.jsで動いているか』と『どこで動かしているか』が分かれば、入れ替えで済むのか、バージョンアップが必要なのかの見当がつきます。」
今やるべきこと・まだ様子見でいいこと
| 区分 | 内容 |
|---|---|
| 今やること | 自社のWebサイト・システムごとに、Node.jsのバージョンと、使っているフレームワークを開発会社に確認する |
| 今やること | どこで動かしているか（ホスティングサービス・AWS Lambda・コンテナ・自社サーバー）と、Node.jsの更新を誰が行うかを確認する |
| 今やること | 22系・24系・26系なら、修正版（22.23.4・24.22.1・26.12.1）への更新の予定を開発会社と決める |
| 早めに | Node.js 20以前・25系・23系で動いている場合は、バージョンアップの計画と見積もりを相談する |
| 早めに | 更新が保守契約の範囲内か、別費用かを確認する |
| 様子見でよい | フレームワークや言語の乗り換えの検討（今回の対応が落ち着いてからで遅くありません） |
発注者がやること チェックリスト
- ☐ 自社のWebサイト・システムが、どのバージョンのNode.jsで動いているか把握した
- ☐ 使っているフレームワーク（Next.js・Nuxt・Expressなど）とそのバージョンを把握した
- ☐ システムをどこで動かしているか（ホスティングサービス・AWS Lambda・コンテナ・自社サーバー）を確認した
- ☐ Node.jsの更新を誰が行うか、保守契約の範囲内かを確認した
- ☐ 修正版（22.23.4・24.22.1・26.12.1）への更新をいつ行うか決めた
- ☐ サポートが終わったNode.js（20以前・25系・23系）を使っていないか確認した
- ☐ Angular 17以前やnode-sass、Create React App・Vue CLI・Nuxt 2など、新しいNode.jsで動かないおそれのあるものを使っていないか確認した
- ☐ 更新後に、サイトやシステムが正しく動くかを誰がどう確認するか決めた
開発会社への質問例
- 「当社のシステムは、どのバージョンのNode.jsで動いていますか？フレームワークのバージョンも教えてください」
- 「10月21日に出たNode.jsの修正版は、当社のシステムに関係しますか？公開中のサーバーでNode.jsは動いていますか？」
- 「Node.jsの更新は、御社とホスティングサービス（AWSなど）のどちらで行われますか？保守契約の範囲で対応してもらえますか？」
- 「修正版への更新は、いつまでにできますか？更新の前後で、サイトが止まる時間はありますか？」
- 「Node.jsのバージョンが古くて修正版を当てられない場合、フレームワークも含めたバージョンアップにどのくらいの作業と期間がかかりますか？」
まとめ
Node.jsの開発チームは2026年10月21日、深刻度「高」の4件を含む脆弱性10件を直した修正版（22.23.4・24.22.1・26.12.1）を公開しました。中には、遠隔から任意のプログラムを実行されるおそれがあるもの（CVE-2026-111497）も含まれています。執筆時点では悪用の報告はありませんが、定期メンテナンスを待たずに早めに更新するのが安心です。
Next.js・Nuxt・Express・NestJSなど、Node.jsの上で動くシステムは土台のNode.jsの影響を受けます。発注者がやるべきことは、自社のシステムのNode.jsのバージョンと、どこで動かして誰が更新するかを確認し、修正版への更新の予定を開発会社と決めることです。Node.js 20以前で動いている場合は修正版が出ないため、バージョンアップも含めて早めに相談しましょう。
Node.jsのバージョンアップや、古いフレームワークで動くシステムのリプレイスはご相談ください
株式会社THIRD HERO（当サイトの運営会社）では、Node.jsやNext.js・Nuxtのバージョンアップ、サポートが終わったNode.js・フレームワークで動くシステムの更新・作り直し（リプレイス）のご相談を受け付けています。「今のシステムがどのバージョンで動いているか分からない」「バージョンアップと作り直しのどちらがよいか判断したい」といった段階からでも構いません。現状の確認から開発、公開後の運用保守まで一貫して対応します。
あわせて読みたい関連記事
