【IT】Node.jsでも最高重要度含む脆弱性 リモートコード実行が可能 PHPだけではない高利用実行環境

Node.jsプロジェクトは10月21日、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開した。修正した脆弱性は10件で、公式の評価では最高重要度のHighが4件、Mediumが3件、Lowが3件だった。Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性も含まれるという。

【画像解説と記事全文はこちら】Node.jsの10月21日の修正10件、領域別の内訳

Node.jsプロジェクトは10月21日（水）、公式ブログで、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開したと発表した。修正版はv26.12.1、v24.22.1、v22.23.4。修正した脆弱性は計10件で、公式の評価は最高重大度のHighが4件、Mediumが3件、Lowが3件だった。Web技術の調査機関であるW3Techsの統計によると、Webサイト全体の約5%が使用し、上位100万サイトに限れば約9%が利用しているという。

Highの4件のうち、Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性（CVE-2026-111497）は、26.x、24.x、22.xのすべてが対象。公式の告知は、悪用の条件や回避策、悪用状況については記載していない。

残るHighは、dns.resolveがNUL文字を含む名前を切り詰める問題（CVE-2026-105482）と、TLS証明書のホスト名検証をバイパスできる2件。1件は全角数字で書いたIPアドレスによるもの（CVE-2026-105483、26.xと24.x）、もう1件はホスト名がIPアドレスに緩く解決される場合のもの（CVE-2026-106069、26.x、24.x、22.x）だ。

Mediumは3件。keep-aliveソケットがリクエスト送信前に書き込まれたレスポンスを処理する問題（CVE-2026-105481）、非正規形のIPv4ホスト名でDNS SANがIPエンドポイントを認証できてしまう問題（CVE-2026-106072）、crypto.randomUUID()とrandomInt()のエントロピーキャッシュがスナップショットやSEAに保存され、全プロセスが同じ値を繰り返す問題（CVE-2026-106074）だ。

Lowの3件は、ZIPヘッダーの検証に失敗したあとで攻撃者が制御するプレフィックスのバイトが返る問題（CVE-2026-106070、26.xのみ）、パーミッションモデルがワイルドカードのradix検索でファイルシステムの権限を過剰に付与する問題（CVE-2026-106071、26.xのみ）、fs.realpathSyncによるパーミッションモデルのバイパス（CVE-2026-106073）。

あわせて、c-ares、ca-cert（eMudhraの中間CAの侵害）、OpenSSL（24.xと22.x）、SQLite（22.x）、Undiciの依存関係も更新した。公式は、サポート終了（EOL）版はセキュリティリリースのたびに影響を受けると注意している。

PHPでも同じ10月21日、認証なしでコードを実行されるおそれがある脆弱性2件を修正した更新版が公開され、重大な脆弱性をめぐって一部のWebサイトが一時停止する事態にもなった。

https://news.yahoo.co.jp/articles/af3b4eb8fc6e40878bf7f8ace00f4c74865c36a7

なんでわざわざ騒ぎにしてんのか

AI が人類を滅ぼす、とかのキャンペーンの一環だろうか

PHPもJavaもその点ではメじゃないだろうなｗｗｗ

基本だろ