高（High）脆弱性2026-10-21
Node.js が10月のセキュリティリリース（RCE を含む計10件を修正）
Node.js が計10件の脆弱性を修正するセキュリティリリースを公開した。Brotli 展開の 範囲外書き込み（リモートコード実行につながる）や、TLS 証明書のホスト名確認を すり抜ける問題などを含む。VS Code・Slack・Notion などの Electron 製アプリや デスクトップアプリも、内部に Node.js を含むため関係する。
放置すると：VS Code や Slack などのアプリ、Node-RED を古いまま使っていると、攻撃者が送った 不正なファイルやリンクを開くだけで、保存したパスワードやファイルを盗まれたり、 パソコンを勝手に操作されたりするおそれがある。更新が来たのに「あとで」で 放置するのが一番あぶない。
サーバー管理者：本番の Node.js を修正版へ更新して再起動する。常時公開している Node-RED は優先して更新する。個人・アプリ利用者：Electron 製アプリは自動更新を有効にし、更新が来たら必ず再起動する。Homebrew などで入れた Node.js も最新版へ更新する。
修正版：v26.12.1 / v24.22.1 / v22.23.4