Node.js脆弱性の対応方法｜2026年10月の更新と確認手順
目次9
2026年10月21日、Node.js（ノード・ジェイエス）の開発チームが、22系・24系・26系のセキュリティ更新を公開しました。直った脆弱性は10件で、そのうち4件は深刻度「高（High）」です。
この記事では、ITにくわしくない方でもわかるように、影響の確かめ方から、作った会社と連絡がとれないときの対処まで、順番に説明します。
この記事のポイント
- Node.js 22・24・26を使っている → 修正版（22.23.4／24.22.1／26.12.1）以降に更新しましょう。
- Node.js 20以前を使っている → もう修正版は出ません。サポート中の版への「バージョンアップ」が必要です。
- 公式発表に回避策（とりあえずの対処）はありません。基本は「修正版に更新する」です。
- Node.js 22は2027年4月30日にサポートが終わる予定です。今のうちに次の版への計画を立てましょう。
10件
今回直った脆弱性
4件
うち深刻度「高」
3系統
対象の系統（22・24・26）
ことばの説明
Node.js＝Webサービスやアプリの「裏側（サーバー）」でプログラムを動かすための土台です。
脆弱性（ぜいじゃくせい）＝システムの"弱いところ"。悪い人に見つかると、そこから攻撃されるおそれがあります。
2026年10月のNode.js更新で、何が直ったの？
Node.jsの公式発表によると、今回の更新はサポート中の3つの系統すべてが対象です。使っている系統ごとに、移る先は次のとおりです。
Node.js 26系 要更新
26.12.1以降に更新します。
サポートは2029年4月30日まで（予定）。
Node.js 24系 要更新
24.22.1以降に更新します。
サポートは2028年4月30日まで（予定）。
Node.js 22系 要更新
22.23.4以降に更新します。
サポートは2027年4月30日まで（予定）。24以降への移行も計画を。
Node.js 20以前 サポート終了
修正版は出ません。
サポート中の版（できれば24か26）へのバージョンアップが必要です。
直った10件の内訳は、深刻度「高」が4件、「中」が3件、「低」が3件です。「高」の4件をかんたんに言うと、次のような内容です。
圧縮データ（Brotli） 高
細工したデータを読み込ませると、外から勝手にプログラムを動かされるおそれがあります。
対象：22・24・26系｜CVE-2026-111497
通信相手の確認（TLS）その1 高
全角の数字を使ったアドレスで、暗号化通信（TLS）の相手が「本物かどうか」の確認がすり抜けられる場合があります。
対象：24・26系｜CVE-2026-105483
通信相手の確認（TLS）その2 高
先頭に0がつくアドレスで、通信相手が「本物かどうか」の確認がすり抜けられる場合があります。
対象：22・24・26系｜CVE-2026-106069
名前の調べ方（DNS） 高
特殊な文字を含む名前が、途中で切られてしまいます。
対象：22・24・26系｜CVE-2026-105482
※CVE番号＝世界共通の脆弱性の番号です。開発会社に伝えるときに便利です。
回避策はありません。修正版への更新が基本です
公式発表には、更新以外の回避策は書かれていません。また「サポートが終わった版は、セキュリティ更新が出るたびに影響を受けるものとみなす」と説明されています。古い版ほど、危ない状態が続きます。
自社が影響を受けるか確かめて、対応する5ステップ
- Node.jsを使っているか確認する
自社のWebサイトや業務システム、アプリの裏側で使われていることがあります。わからなければ、開発会社や保守会社に「Node.jsを使っていますか？」と聞くのがいちばん早いです。
- バージョン（版）を確認する
サーバーにログインできる方なら、
node -vというコマンドで「v22.23.3」のような番号が出ます。最初の数字（22など）が系統です。 - 図1と比べる
修正版より古ければ、更新が必要です。20以前なら、バージョンアップを考えます。
- テスト用の環境で更新を試す
本番とは別の場所で修正版に入れ替え、画面やデータの登録など、ふだんの業務が動くかを確かめます。
- 本番を更新し、次の計画を立てる
利用の少ない時間に本番を入れ替えます。あわせて、今の系統のサポートが終わる日までに、次の版へ移る計画を立てます。
「画面をつくる作業」だけで使っている場合も
Node.jsは、サーバーだけでなく「画面をつくる作業（ビルド）」だけに使われている場合もあります。その場合も、使っている版は更新しておくのがおすすめです。
Node.jsのサポート期限と、版ごとにすべきこと
Node.jsは、版ごとにサポート（修正版が出る期間）の終わりが決まっています。公式のスケジュールは次のとおりです（予定は変わることがあります）。
| 系統 | 状態 | サポート終了 | いますべきこと |
|---|---|---|---|
| Node.js 26 | サポート中 | 2029年4月30日（予定） | 26.12.1以降に更新 |
| Node.js 24 | サポート中 | 2028年4月30日（予定） | 24.22.1以降に更新 |
| Node.js 22 | あと半年 | 2027年4月30日（予定） | 22.23.4以降に更新し、24以降への移行を計画 |
| Node.js 20 | EOL | 2026年4月30日（終了） | 修正版なし。バージョンアップが必要 |
| Node.js 18以前 | EOL | 終了済み（18は2025年4月30日） | 修正版なし。早めのバージョンアップを |
※EOL（End of Life）＝サポート終了のことです。
日付を順に並べると、次のようになります。
- Node.js 18のサポート終了
- Node.js 20のサポート終了。以後、修正版は出ません
- セキュリティ更新を公開（22.23.4／24.22.1／26.12.1）
- Node.js 22のサポート終了（予定）
- Node.js 24のサポート終了（予定）
- Node.js 26のサポート終了（予定）
版の出し方が変わる予定です
Node.js 27からは、新しい版が年1回のペースになる予定です。版の選び方は今後少し変わるので、保守会社と相談しながら決めると安心です。
Java、Python、.NET、サーバーのOSなど、ほかの仕組みのサポート期限は「古いシステムの脆弱性対策」にまとめています。Javaの注意喚起は「Java脆弱性対策（2026年10月）」をご覧ください。
「更新」と「バージョンアップ」は何がちがう？
更新（パッチ適用）
同じ系統の中で新しくすること。例：24.22.0 → 24.22.1。多くの場合、作業は小さめです。
バージョンアップ
系統そのものを上げること。例：16 → 24。プログラムが使っている部品（ライブラリ）も一緒に新しくする必要があり、作業が大きくなりがちです。
バージョンアップのおおまかな流れは次のとおりです。
かかる期間や費用は、システムの大きさや、どれだけ古い版かによって大きく変わります。まずは調査をして、全体の見通しを立てるのが近道です。
放っておくと？ 対応すると？
そのままにした場合
- 公表された「高」4件を含む弱いところが残ったまま
- 20以前は、これから見つかる弱いところも直らない
- 何か起きてから、あわてて調べることになる
修正版に更新・計画的にバージョンアップした場合
- 今回の10件の弱いところが直る
- サポート期限まで、修正版を受け取り続けられる
- 予算や業務に合わせて、落ち着いて進められる
開発会社・保守会社に聞いておきたいこと
- うちのシステムは、Node.jsのどの版を使っていますか？
- 2026年10月の修正版（22.23.4／24.22.1／26.12.1）には、いつ更新できますか？
- 使っている部品（ライブラリ）に、古いものや危ないものはありますか？
- 更新したあと、どうやって動作を確認しますか？
- 今の版のサポートが終わる日と、それまでの計画を教えてください。
こんなときは、どうすればいい？
作った会社と連絡がとれない
まずは、ソースコード（プログラム本体）、サーバーやクラウドのログイン情報、ドメインの契約情報が自社の手元にあるかを確認しましょう。これがあれば、別の会社が引き継いで調べられます。
資料（仕様書）がない
資料がなくても、プログラムを読めば「何をしているか」はわかります。調べながら、機能の一覧やデータの流れを資料として作り直すこともできます。
担当者が辞めてしまった
「どの画面を、だれが、どんな業務で使っているか」だけでも整理しておくと、引き継ぎがスムーズになります。
「古すぎて更新できない」と言われた
古い版でも、順番に部品を入れ替えれば新しい版に移せることが多くあります。あきらめる前に、別の会社の意見を聞いてみるのも一つの方法です。
Digi Dinosにおまかせください
Digi Dinos（デジダイノス）は、ベトナムと日本に拠点をもつシステム開発会社です。創業から8年、150件以上のプロジェクトを手がけてきました。日本語ができるチームが対応します。
- 古いシステムの保守を引き継ぎ：Node.js、Java、PHP、Python、Ruby、.NETなど、主な言語に対応します。
- 新しい脆弱性への対応：今回のような更新が出たら、影響を調べて修正します。
- まるごとバージョンアップ：言語、フレームワーク、サーバーやOSまで新しくします。
- 資料がなくても大丈夫：作った会社がいない、仕様がだれにもわからないシステムでも、プログラムを読んで調べ、資料を作り直し、計画をまとめてご提案します。
- 永久保証：私たちが手を入れた部分に不具合が見つかったら、責任をもって直します。保守契約を続けていただいている間は、期限を区切らずに保証します。
「うちのNode.jsは大丈夫？」というご相談だけでも
版の確認、修正版への更新、バージョンアップの計画まで、日本語でご案内します。資料がないシステムでもご相談ください。
よくある質問
Node.jsを使っているかどうか、自分ではわかりません。
開発会社や保守会社に聞くのがいちばん確実です。連絡がとれない場合は、ソースコードとサーバーの情報があれば、私たちが調べることもできます。
更新すると、サイトやシステムが止まりますか？
入れ替えの数分〜数十分ほど止まることはありますが、利用の少ない時間に行えば影響は小さくできます。事前にテスト用の環境で確かめておくことが大切です。
Node.js 20のまま使い続けてもいいですか？
おすすめしません。Node.js 20は2026年4月30日でサポートが終わり、今回のような修正版は出ません。新しい弱いところが見つかっても直せない状態になります。
費用はどれくらいかかりますか？
システムの大きさや古さによって変わるため、まず現状を調べてからお見積もりします。調べた結果をもとに、全体の計画と費用をわかりやすくご説明します。
関連記事
PHP脆弱性への対応｜PHP2shellで中小企業が今やること
PHPバージョンアップの費用と進め方｜古いPHPから8系へ
システム保守の引き継ぎ｜資料がない・開発会社と連絡がとれない時
Java脆弱性対策｜2026年10月のIPA注意喚起と対応方法
古いシステムの脆弱性対策｜何から手をつける？2026年版
ChatGPT 4o（4 Omni）の優れた機能
DX（デジタルトランスフォーメーション）とは？意味・進め方・事例
幸せの秘訣!
IT Comtor（コミュニケーター）とは？仕事内容・必要スキル・BrSEとの違い
