高（High）脆弱性2026-11-04
Node.js が22.x・24.x・26.xの修正版を公開、HTTP/2やTLSなど16件の脆弱性を修正（v22.23.5 / v24.22.3 / v26.13.1）
Node.js プロジェクトが11月4日に予告していたセキュリティリリースを11月11日（協定世界時）に公開し、 22.x・24.x・26.x の修正版 v22.23.5・v24.22.3・v26.13.1 で16件の脆弱性を修正した。深刻度は High 7件、 Medium 6件、Low 3件。HTTP/2 関連が多く、認証なしでサーバーを停止させられる問題（CVE-2026-123863）、 HTTPS で他の接続のメモリ（TLS の秘密鍵や他の利用者のリクエストを含みうる）が漏れる問題（CVE-2026-123864）、 TLS 1.2 の再ネゴシエーションで接続先のサーバー名を変えてクライアント証明書の認証（mTLS）をすり抜けられる 問題（CVE-2026-123872）などがある。サポートが終了した20.x 以前には修正版が出ない。
放置すると：HTTP/2 や HTTPS を受け付ける Node.js のサーバーは、認証なしの通信だけで停止させられたり、 他の利用者の通信内容や TLS の秘密鍵が漏れたりするおそれがある。mTLS で接続先ごとに認可している サーバーは、認可をすり抜けられるおそれがある。修正版の公開後は攻撃方法が調べられやすく、 更新していないサーバーが狙われやすくなる。
サーバー管理者：v22.23.5 / v24.22.3 / v26.13.1 以降に更新し、プロセスを再起動する。サーバーだけでなく、 Docker のベースイメージ、CI/CD、サーバーレス（Lambda など）のランタイムの版も確認して作り直す。 HTTP/2・HTTPS・mTLS を使うサーバーを優先する。20.x 以前のサポートが終了した系列は修正版が出ないため、 22.x 以降へ移行する。個人・アプリ利用者：Homebrew や公式インストーラーで入れた Node.js は最新版に更新する。VS Code・Slack などの Electron 製 アプリは自動更新を有効にし、更新が来たら再起動する。
修正版：v22.23.5 / v24.22.3 / v26.13.1（2026年11月11日公開）
個人の対応チェックリスト
チェックの状態はこの端末のブラウザにのみ保存されます（他の人には共有されません）。
出典
- Node.js 公式（Node.js 26.13.1 (LTS)）
- 窓の杜（「Node.js」にセキュリティ更新 ～16件の脆弱性を修正、HTTP/2関連が多数）
- セキュリティ対策Lab（Node.js 22・24・26に緊急セキュリティ更新）
- SecurityOnline（Node.js HTTP/2 and TLS Memory Leak Flaws Fixed）
- Node.js 公式（Wednesday, November 11, 2026 Security Releases）
- oss-security（Node.js プロジェクトの事前告知）
- セキュリティ対策Lab（Node.js 22・24・26、11月11日に「HIGH」の脆弱性修正へ）
- FOSS Linux（Node.js Security Release Set for November 11）
- GCN（CISA sets November 10 deadline for high-severity Node.js flaw）