Node.js 26 26.12.1 重要

公開 2026-10-21 · 2026-10-21 セキュリティ 不具合修正

Node.js 26.12.1 は、TLS・DNS・Brotli などの脆弱性 8 件（CVE-2026-106069 など High 4 件を含む）を修正した。TLS で非正規の IP アドレスを拒否する修正、DNS 入力の null バイト検証、ルート証明書の NSS 3.131.1 への更新も含まれる。

(CVE-2026-106069, CVE-2026-106072) tls: reject non-canonical IP addresses (Matteo Collina) – High (CVE-2026-105482) dns: validate resolve inputs for null bytes (James M Snell) – High (CVE-2026-105483) tls: fix ip normalization regression (James M Snell) – High (CVE-2026-111497) deps: brotli: cherry-pick 0ed4268a4401abcb44720963 (Evgenii Kliuchnikov) – High (CVE-2026-105481) http: ensure agent data guard works without I/O (James M Snell) – Medium (CVE-2026-106074) crypto: reset random caches acro…nodejs.org

窓の杜 · 2026-10-22 「Node.js」にセキュリティ更新 ～10件の脆弱性を修正、「eMudhra」の侵害にも対応／v22.23.4、v24.22.1、v26.12.1が公開「Node.js」のセキュリティアップデートが10月21日（協定世界時）、予告通りに実施された。今回リリースされたバージョンは、以下の通り。できるだけ早い更新が望ましい。

公式のリリース情報 · Node.js 26 の履歴 · Node.js まとめ