Node.jsの脆弱性への対応

Node.jsの脆弱性への対応

このヘルプは 2026年10月30日に公開されたZoho Blog「Update on Node.js vulnerabilities CVE-2026-111497, CVE-2026-105482, CVE-2026-105483 and CVE-2026-106069」をもとに作成しています。

概要

2026年10月21日、Node.jsは26.x、24.x、および22.xリリースライン向けのセキュリティアップデートを発表し、複数の脆弱性を修正しました。これらの脆弱性は、Brotliデコーダー、DNS解決、TLS証明書検証などの重要な操作に影響を与え、リモートコード実行（RCE）やトラフィック遮断のリスクを伴います。

このヘルプは4つの脆弱性に対応しています：CVE-2026-111497、CVE-2026-105482、CVE-2026-105483、CVE-2026-106069。

脆弱性の詳細

CVE
深刻度
概要
影響を受けるリリース
修正版
CVE-2026-111497
高(High)
Brotliデコーダーの範囲外書き込み。潜在的なリモートコード実行（RCE）
26.x、24.x、22.x
v26.12.1、v24.22.1、v22.23.4
CVE-2026-105482高(High)
埋め込まれたNUL文字によるDNS解決の切り捨て
26.x、24.x、22.x
v26.12.1、v24.22.1、v22.23.4
CVE-2026-105483高(High)
全角IP数字を使用したTLSホスト名検証バイパス
26.x、24.x
v26.12.1、v24.22.1
CVE-2026-106069高(High)
非正規形式のIPアドレスを使用したTLSホスト名検証バイパス
26.x、24.x、22.x
v26.12.1、v24.22.1、v22.23.4

弊社の評価

公表後、弊社のセキュリティチームはZoho製品とサポートインフラストラクチャを調査しました。

発見事項

  1. 内部ビルドサービス：影響を受けたNode.jsバージョンは、ビルド生成のための内部サービスで使用されていました。これは実行時に使用されず、顧客のトラフィックやデータを処理しません。
  2. ネットワーク露出：内部サービスはインターネットに公開されていません。
  3. 対策：予防措置として、ビルドプロセスで使用されているNode.jsバージョンをパッチ適用済みバージョンにアップグレードしました。

お客様への影響と必要な対応

Zoho製品の機能やお客様のデータに影響はありません。また、お客様側で必要な対応はありません。当社の環境で、これらの脆弱性が悪用された兆候はありません。
Zohoは、サービスのセキュリティと顧客データの整合性を保護するために、セキュリティのアドバイザリを継続的に監視し、潜在的な脆弱性を評価しています。関連する発見や変更について、速やかに通知いたします。

お問い合わせ

ご質問がある場合は、下記いずれかにお問い合わせください。
セキュリティチーム：security@zohocorp.com
＊ゾーホージャパンから直接ご購入いただいているお客様は、support@zoho.jp もしくはヘルプセンター から

参照

  3. CVE-2026-105482
  4. CVE-2026-105483
  5. CVE-2026-106069