概要と確認できる範囲
Node.js や関連パッケージの版は外からは確定できません。2026年10月21日に Node.js のセキュリティ更新が出ており、Brotli の展開処理のメモリ破壊（CVE-2026-111497、プログラムを実行されるおそれ）、TLS のホスト名検証の回避（CVE-2026-105483 / CVE-2026-106069）、dns モジュールの不具合（CVE-2026-105482）など10件が修正されました。Node.js 20 と 25 はサポートが終わっているため、修正版は出ません。10月22日には、リクエストの本文を読む body-parser（CVE-2026-111181）とファイルアップロードの multer（CVE-2026-113872）に、サービスを止められる脆弱性も公表されています。multer には8月28日にも、細工したフィールド名（GHSA-535w-7cp7-47q4 / GHSA-wc9g-mqfw-jrwm）や、中断したアップロードでファイルが開いたままになること（GHSA-qfvm-cv95-jqjf）でサービスを止められる脆弱性3件が公表され、2.3.0 で修正されています。危ないかもしれないので、サーバで node -v を実行して Node.js の版を、package-lock.json で body-parser と multer の版を調べてください。
無料診断は使用技術の兆候をもとに確認を促します。バージョンや脆弱性への該当、侵害の有無は確定できません。
- 参照した告知の公表日
- 2026/10/21
- 診断ルールの確認日
- 2026/10/28
情報整理：WATRIX合同会社。外部から見える情報に基づく照合・確認案内です。
影響範囲と修正版
影響するバージョン
影響範囲の詳細は上記の説明と公式出典をご確認ください。
確認している修正版
修正版は公式出典で対象の製品・系列ごとに確認してください。
対処と確認の進め方
- Node.js を v26.12.1 / v24.22.1 / v22.23.4 以降へ更新してください（20 系・25 系は 22 系以降へ移行）。body-parser は修正済みの最新版へ、multer は 2.5.0 以降へ更新してください