Node.js 22・24・26 系に10月21日以降セキュリティ修正、最高深刻度は HIGH

Node.js プロジェクトは、26.x・24.x・22.x の3系列について、2026年10月21日（水）かその直後にセキュリティ修正版を出すと予告している。3系列とも、修正される問題のうち最も重いものの深刻度は HIGH だ。このどれかを本番や CI で動かしているなら、21日以降に修正版へ差し替える前提で準備しておくのがよい。

この3系列に入らない古い版はもっと分が悪い。告知には「End-of-Life のバージョンは、セキュリティリリースがあるときは常に影響を受ける」（訳）とある。今回の公式告知で修正版の公開予定に挙がっているのは26.x・24.x・22.xで、EOL の系列は列挙されていない。EOL を運用しているなら、サポート中の系列への移行を検討したい。

予告の時点で分かっている範囲

系列	最高深刻度	公開予定
26.x	HIGH	2026年10月21日（水）またはその直後
24.x	HIGH	同上
22.x	HIGH	同上
EOL の版	告知上「常に影響を受ける」	今回の公開予定には列挙なし

出典：Node.js「Wednesday, October 21, 2026 Security Releases」（10月21日のセキュリティリリースに向けた事前告知）

告知に載っているのはここまでだ。CVE 番号、影響するモジュール、修正後のバージョン番号はまだ出ていない。公開時刻やタイムゾーンも書かれていないので、日本時間では22日にずれ込む可能性もある。

「最高 HIGH」は自分の構成に HIGH が当たるという意味ではない

事前告知の「最高深刻度」は、その系列で直る問題のうち一番重いものを示しているにすぎない。前回、2026年7月29日のセキュリティリリースを見るとそれがよく分かる。事前告知では今回と同じく3系列とも最高 HIGH だったが、実際に公開された内容は High 3件、Medium 5件、Low 3件の計11件で、undici と llhttp の依存更新も含まれていた。

しかも全件が全系列に当たったわけではない。HTTP/2 の保持ヘッダーが maxSessionMemory の制限をすり抜ける問題（CVE-2026-56846、High）は 24.x と 22.x だけ、node:sqlite の SQLTagStore の問題（CVE-2026-58041、Medium）は 26.x と 24.x だけが対象だった。Permission Model のパス照合の問題（CVE-2026-58043、High）は --permission を使う構成で効くものだ。このとき出た修正版は v22.23.2、v24.18.1、v26.5.1 だった。

今回10月21日以降の修正がこれと似た構成になるかは分からない。言えるのは、どの問題が自分のアプリに当たるかは21日の本公開を読むまで判断できない、ということだけだ。HTTP サーバーを外に出しているのか、Permission Model を使っているのかで、急ぐ度合いは変わりうる。

予定日は動くことがある

7月のリリースは2回延期された。7月27日の更新で「追加のテストと検証が必要」として28日（火）へ、28日の更新ではインフラの問題を理由に29日（水）へずれている。今回の告知も「21日またはその直後」という書き方なので、21日に必ず出るとは限らない。メンテナンス枠を21日ちょうどに固定するより、公開を確認してから動ける余裕を持たせておくほうが現実的だ。

21日までに片付けておくこと

• 本番、CI、コンテナのベースイメージで使っている Node.js の系列を洗い出す。22.x・24.x・26.x 以外が混ざっていないかを公式の Release Schedule と突き合わせる。
• EOL の系列が残っていれば、移行先の系列を決めておく。公式サイトは Maintenance LTS を過ぎた版の商用サポートを OpenJS Ecosystem Sustainability Program のパートナー経由で案内している。
• 修正版が出たときに差し替える経路（イメージの再ビルド、CI のバージョン指定、デプロイの順序）を確認しておく。
• 告知専用で流量の少ない nodejs-sec メーリングリストを購読する。延期や公開の知らせはここに流れる。

直近の 24.x の機能追加は Node.js 24 LTS の記事にまとめている。セキュリティ修正版を当てるときは、自分がいまどのマイナーにいるかも合わせて確認しておくと差分を読みやすい。