脅威動向 2026-10-23（金）配信

Node.js、Brotliデコーダの脆弱性など10件を修正

Node.jsプロジェクトは、サポート中のリリースライン（22.x、24.x、26.x）向けにセキュリティアップデートを公開し、Brotliデコーダの不具合やTLS証明書の検証バイパスなど計10件の脆弱性を修正しました。

脅威の概要

Node.jsのサポート対象リリースラインにおいて、Brotliデコーダの領域外書き込みによるリモートコード実行（CVE-2026-111497）やTLS証明書の検証バイパスなど、計10件の脆弱性が修正されました。また、危殆化したeMudhraの中間CAキー8個に対する組み込みブロックも追加されています。

主要なTTP

不正な圧縮入力を利用したBrotliデコーダへの領域外書き込み

通常とは異なる形式のIPアドレス指定によるTLSホスト名チェックのバイパス

埋め込みナル文字を含むホスト名の切り詰め（dns.resolve）

対象となる組織・利用者

Node.jsのバージョン22.x、24.x、26.x系を利用している組織。

推奨される防御アクション

Node.jsを各サポートラインの修正済みバージョン（22.23.4、24.22.1、26.12.1以降）にアップデートする

EOLを迎えているNode.js 20.x以前の環境を利用している場合は、サポート中のラインへ移行する

出典：https://thehackernews.com/2026/10/nodejs-brotli-decoder-bug-could-allow.html

CVE-2026-111497 の経緯（4号）