世界中のWebサービスを支える基盤ソフト「Node.js（ノードジェイエス＝サーバー側でJavaScriptを動かす実行環境）」に、深刻度の高い脆弱性が見つかりました。悪用されれば、攻撃者が遠隔から任意のコードを実行できる恐れがあり、サポート中のすべての版が影響を受けます。開発元はすでに修正版を公開しており、利用者には速やかな更新が呼びかけられています。
圧縮処理に潜む不具合
問題の欠陥は「CVE-2026-111497」として登録され、Node.jsが内部に組み込む圧縮方式「Brotli（ブロトリ）」の展開処理に潜む不具合です。細工された圧縮データを読み込ませると、メモリー領域の範囲外にデータが書き込まれ、最悪の場合に遠隔でのコード実行（RCE）につながります。深刻度は「高（High）」と評価されています。
22系・24系・26系に影響
影響を受けるのは、現在サポートされている22系・24系・26系のすべてです。すでにサポートが終了した20系以前には修正が提供されないため、古い版を使い続けている環境は特に注意が必要です。開発元は10月21日に修正版（22.23.4／24.22.1／26.12.1）を公開しました。一時的な回避策はなく、更新が唯一の対策とされます。
実証コードは公開済み
10月22日には実証コード（PoC＝攻撃が可能であることを示す試験用のプログラム）が公開されましたが、通常の環境ではプログラムの異常終了にとどまり、完全な攻撃の成功は確認されていません。現時点で実際の被害報告はありませんが、Webサービスがリクエストや外部サーバーからの応答を展開する際に悪用される可能性があり、油断はできません。
日本への影響
Node.jsは、日本国内でも電子商取引サイトや予約システム、スマートフォンアプリの裏側など、幅広い場面で使われています。楽天やメルカリ、LINEヤフーをはじめ、多くの企業がWebサービスの開発にNode.jsを採用しており、修正版への更新が遅れれば、情報流出やサービス停止につながる危険があります。とりわけ、自社で古い版を使い続けている中小企業や、外部に開発を委託したまま保守が止まっているシステムは要注意です。システム管理者は、自社や取引先が使うNode.jsの版をただちに確認し、最新版への更新を急ぐことが求められます。利用者側としても、重要なサービスからの不審な通知やパスワード変更の案内には、より慎重に対応する姿勢が欠かせません。
まとめ：基盤ソフトの欠陥は影響範囲が広く、早めの更新こそが最大の防御策です。
出典：
The Hacker News
Node.js 公式ブログ
Qualys
Photo: Clint Patterson / Unsplash
