Node.js脆弱性2026｜自分のサイトは対象？確認方法と対策を解説

Node.jsに重大な脆弱性が見つかったというニュースを見て、自分のブログやホームページも危険なのではと心配になった方もいるかもしれません。私も最初にニュースを見たときは、同じ日にPHPの脆弱性の話題も流れてきて、正直どっちの話なのか混乱しました。

2026年10月21日、Node.jsプロジェクトは3つの系列（22系・24系・26系）にセキュリティ更新を公開しました。WordPressを通常のPHP環境で使っているだけなら、今回のNode.js本体の脆弱性がそのまま直接影響するわけではありません。ただし、Node.jsを併用している環境では確認が必要です。

先にやることをまとめるとこの3つです。①自分の環境でNode.jsを使っているかを確認する。②使っているならバージョンを確認する。③対象なら、バックアップと動作確認をしてから修正版に更新する。順番に見ていきますね。

Node.jsの脆弱性とは？2026年10月に何が起きた？

10件の脆弱性が公表、4件は深刻度High

Node.jsは、サーバー側でJavaScriptを動かすための仕組みです。Webアプリの裏側、開発ツール、自動化の道具など、見えないところで広く使われています。

2026年10月21日（水）の公式発表では、修正された脆弱性は合計10件でした。内訳は深刻度High（高）が4件、Medium（中）が3件、Low（低）が3件です。修正版は次の3つです。

系列	修正版	今回の脆弱性のうち影響を受ける件数
22.x	22.23.4	7件
24.x	24.22.1	8件
26.x	26.12.1	10件

件数は、公式ページの一覧表で「影響を受ける系列」に各系列が入っている脆弱性を数えたものです。26系はすべての脆弱性が対象で、新しい系列ほど多く影響を受けている形でした。

CVE-2026-111497とは？

10件のなかで、いちばん注目されているのがCVE-2026-111497です。公式のタイトルは「Brotliデコーダーの境界外書き込みがリモートコード実行を許す」というもの。Brotliは、Web通信でデータを小さく圧縮するときによく使われる形式のひとつです。

難しく聞こえますが、イメージとしては「細工された圧縮データを展開するときに、本来書き込んではいけない場所までデータが書き込まれてしまい、最悪の場合は外部の人にプログラムを動かされる可能性がある」という種類の問題です。22系・24系・26系のすべてが対象とされています。

そのほかのHighは、TLS証明書のホスト名確認をすり抜けられる問題が2件（CVE-2026-105483、CVE-2026-106069）と、DNSの名前解決で文字列が途中で切れてしまう問題（CVE-2026-105482）です。通信相手が本物かどうかを確かめる仕組みに関わる話なので、通信を扱うアプリでは軽く見ないほうがよさそうです。

実際の攻撃や被害は確認されている？

ここは大事なところなので、分けて書きます。脆弱性が見つかったことと、実際に攻撃されたことは別の話です。

公式の発表ページには、悪用された被害の報告は載っていません。私が調べた範囲でも、この脆弱性を使った攻撃が広がっているという確かな情報は、2026年10月22日（日本時間）時点では確認できていません。

だからといって放置してよいわけではなく、修正版が公開されて内容が知られた以上、早めに更新しておくほうが安心です。慌てすぎず、でも後回しにしすぎない、というのが私の結論です。

【30秒判定】自分のブログやホームページは対象？

環境別の判定表

まずは自分の環境を、この表に当てはめてみてください。

利用環境	影響の目安	必要な対応
一般的なWordPressブログ	通常は直接対象外	Node.js併用の有無を確認
PHPのみのホームページ	通常は直接対象外	PHPの脆弱性は別途対処
Next.jsのサーバー運用	対象となり得る	Node.jsの系列とバージョン確認
Expressなどのバックエンド	対象となり得る	実行環境を確認
Docker環境	対象となり得る	コンテナ内のNode.jsを確認
Node.jsベースのMCPサーバー	対象となり得る	実行ランタイムを確認

「通常は直接対象外」と書いているのは、WordPressやPHPが動く仕組みの中でNode.jsを使わないのが普通だからです。ただし、サイト運営の周辺でNode.jsを併用している場合は別です。

自分の環境を判定してみた

実際に、バージョン番号の読み方を例で試してみました。たとえば手元の表示が次のようだったとします（数字は説明のための例です）。

• v24.21.0 と表示された場合：24系の修正版は24.22.1。24.21.0は、マイナー番号が21で22より小さいので、更新が必要です。
• v22.23.4 と表示された場合：22系の修正版と同じなので、対応済みです。
• v26.12.1 以上なら、26系は対応済みです。

ポイントは、必ず「同じ系列の修正版」と比べることです。24系の人が22.23.4と比べても意味がありません。系列ごとの修正版は、22系が22.23.4、24系が24.22.1、26系が26.12.1です。

もうひとつ、件数でも見てみました。10件のうち、22系が対象になるのは7件、24系は8件、26系は10件です。差が出る理由は、26系にだけ関わる問題（ZIPファイルの処理とPermission Modelの2件）と、24系・26系にだけ関わる問題（全角数字のIPアドレスの件）があるからです。ただ、High以上の4件のうち22系が対象になるのは3件ですから、「22系だから安心」とも言えません。

判定が分からないときの考え方

「そもそもNode.jsを入れているのか分からない」という方は、次の章の確認方法を試してください。それでも判断がつかない場合や、会社のサイト・システムの場合は、自分で更新せず、制作会社や社内の担当者に「インフラでNode.jsを使っていますか？」と聞くのがいちばん安全です。

WordPressとNode.jsの脆弱性は何が違う？

WordPressは主にPHPで動いている

WordPressは、PHPというプログラミング言語で動くソフトウェアです。ふつうのレンタルサーバーでWordPressを使っているなら、ページを表示する処理はPHPが担当していて、Node.jsは関わっていません。

だから、Node.js本体の脆弱性が、ふつうのWordPressサイトにそのまま当てはまるわけではありません。ここは安心してよいポイントです。

ただし、完全に無関係と言い切るのも危ないです。たとえば、テーマやプラグインを自分でカスタマイズしている人が、パソコンの中でNode.jsを使ってJavaScriptをまとめたり、別のサーバーでNode.jsのアプリを動かしてWordPressと連携させたりしている場合は、そのNode.js側を確認する必要があります。

PHPの重大脆弱性との違い

同じ時期にPHPでも重大な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表され、混同されやすくなっています。両者は別の問題です。

比較項目	PHPの脆弱性	Node.jsの脆弱性
関連するもの	WordPressなどPHP製のサイト	Next.jsやExpressなどNode.jsで動くアプリ、開発ツール
主な確認先	サーバー会社のお知らせ、PHPのバージョン	パソコンやサーバーのNode.jsのバージョン
更新する人	サーバー会社、または管理者	環境を管理している人（自分や開発担当）

PHP側の話は、Echo Stationの別の記事で詳しく書いています。WordPressを使っている方は、こちらもあわせて確認してみてね。

→ PHP重大脆弱性でWordPressは危険？確認方法と対策【2026年10月】

エックスサーバーやConoHa WING利用者は何を確認すべき？

レンタルサーバーを使っている場合、まず見るべきなのは、サーバー会社が出しているお知らせです。PHPの更新やメンテナンスについては、各社の公式のお知らせで案内されています。

注意したいのは、サーバー会社が行う対策と、利用者が自分で行う確認は別だということです。私はここまで調べても、各社がNode.js側の対応を完了したかどうかまでは確認できていません。「全部おまかせで大丈夫」と決めつけず、自分でNode.jsを動かす設定をしていないかだけ、コントロールパネルで確認してみてください。何も設定していなければ、WordPressだけの運用では特別な作業は要らないケースがほとんどです。

Node.jsのバージョン確認方法【Windows・Mac対応】

Windowsで確認する

Windowsでは、スタートメニューで「PowerShell」と検索して開きます（「ターミナル」と表示される場合も同じです）。開いたら、次の文字を入力してEnterキーを押してください。

node -v

「v24.22.1」のように、vで始まる数字が出れば、Node.jsが入っています。この数字が確認結果です。

Macで確認する

Macでは、「ターミナル」を開きます（Spotlightで「ターミナル」と検索すると出てきます）。Windowsと同じく、次の文字を入力してEnterキーを押します。

node -v

こちらも「v22.23.4」のような数字が表示されます。

どのバージョンなら修正済み？

表示された数字の最初の数字（系列）に合わせて、次のように判断します。

• 22系：22.23.4以上なら修正済み
• 24系：24.22.1以上なら修正済み
• 26系：26.12.1以上なら修正済み

20系や、すでにサポートが終わった系列が表示された場合は注意が必要です。公式ページには、サポートが終了したバージョンは、セキュリティ更新のたびに影響を受けると書かれています。修正版が出ないので、サポート中の系列への移行を考える必要があります。

もし「コマンドが見つかりません」や「認識されていません」と出た場合は、Node.jsが入っていないか、パソコンがNode.jsの場所を知らない（PATHに登録されていない）状態です。ただ、それだけで「絶対に使っていない」とは言い切れません。別のツールの中にNode.jsが同梱されていることもあるので、気になる場合は詳しい人に確認してもらうと安心です。

npm auditでは確認できない理由

開発経験のある方は、npm auditを実行して「問題なし」と出ると安心しがちです。でも、今回の脆弱性はNode.js本体の問題です。npm auditは、プロジェクトが使っている部品（パッケージ）の脆弱性を調べる道具なので、実行環境そのものの古さは教えてくれません。

つまり、npm auditが問題なしでも、Node.jsのバージョンが古ければ今回の対象になり得ます。確認は必ず node -v で行ってね。

Node.jsの脆弱性への対策と安全な更新方法

公式サイトから更新する場合

Node.jsを公式のインストーラーで入れた場合は、公式サイト（https://nodejs.org/）から、サポート中の系列のインストーラーをダウンロードして、上書きインストールするのが基本です。更新したら、もう一度 node -v で番号を確認してください。

nvmなどで管理している場合

バージョン管理ツールを使っている場合は、そのツールのやり方で更新します。ツールの種類やOSで書き方が違うので、自分が使っているものを確認してから実行してください。たとえば、MacやLinuxで使うnvmなら、次のように指定します。

nvm install 24.22.1

nvm use 24.22.1

Windows用のnvm-windowsでも、基本的な考え方は同じで、バージョン番号を指定して入れ替えます。どのツールか分からないときは、無理に打たないほうがよいです。

更新前に確認しておきたいこと

私が実際に大事だと思うのは、更新する前の準備です。新しい系列に大きく上げると、今まで動いていたプログラムが動かなくなることがあります。

• 今のバージョン番号を、メモに控えておく
• サイトやアプリのバックアップを取る
• 本番ではなく、先にテスト環境で動かしてみる
• 会社のシステムなら、勝手に触らず管理者に相談する

今回の更新には、証明書の一覧（eMudhraの中間認証局に関するもの）の更新も含まれています。通信先によっては、更新後に接続の挙動が変わる可能性も考えられるので、テスト環境で確認しておくと安心です。

更新後はアプリの再起動も必要

意外と見落とされるのが、更新後の再起動です。Node.jsを入れ替えても、すでに動いているプログラムは、古いNode.jsのまま動き続けている場合があります。

サーバーでずっと動かしているアプリは、更新後に再起動して初めて新しいバージョンに切り替わります。「更新したのに、まだ古いまま動いていた」という失敗は、実は起きやすいです。

なお、Windows自体の更新が気になる方は、こちらの記事もどうぞ。パソコン全体の更新を後回しにしていないか、一緒にチェックしておくと安心だよ。

→ 【Windows緊急更新】自分のPCは対象？CVE-2026-96951の対処法

AIコーディングツールやMCPを使っている人も対象？

ここは、今回の記事で特に伝えたい部分です。最近は、AIコーディングツールを使って、パソコンの中でプログラムを書いたり、Webの情報を取ってきてもらったりする人が増えています。

ツール本体とMCPサーバーは分けて考える

大事なのは、AIツール本体と、MCPサーバー（AIツールに外部の機能をつなぐ部品）を混同しないことです。MCPサーバーの中には、Node.jsで動くものが多くあります。

種類	Node.jsとの関係	確認すること
AIツール本体	インストール方法によって異なる	公式の案内、自分の導入方法
npxなどで起動するMCPサーバー	パソコンのNode.jsで動く	node -v で確認
ブラウザ操作の自動化ツール	Node.jsで動くことが多い	実行しているNode.jsを確認
自作のNode.jsスクリプト	パソコンのNode.jsで動く	node -v で確認

「AIツールを使っているだけで必ず危険」ということはありません。更新責任がどこにあるのかを、ツールごとに分けて考えるのがコツです。

外部のWebデータを取得する場合

Node.jsのfetchという機能は、Webから情報を取ってくるときに、圧縮された応答を自動で展開することがあります。そのため、信頼できないサイトに自動でアクセスするツールを使っている場合、技術的には今回のBrotliの問題が関わる経路が考えられます。

ただし、これは「考えられる可能性」の話で、公式が実際の被害として確認したものではありません。安全のために、自動でWebを巡回する使い方をしているなら、そのパソコンのNode.jsを先に更新しておく、くらいの感覚でよいと私は思います。

Docker・クラウド環境で見落としがちなポイント

ここから先は少し専門的な内容です。個人のブログだけの方は、読み飛ばしても大丈夫です。

Dockerではコンテナ内部の更新が必要

Dockerを使っている場合、パソコンのNode.jsを更新しても、コンテナの中のNode.jsは別物です。コンテナのもとになるイメージを最新に取り直して、作り直し（再ビルド）、入れ替え（再デプロイ）をしないと、古いままです。

たとえば、docker pull node:24 で新しいイメージを取り込み、アプリのイメージを作り直します。作り直したら、コンテナの中で node -v を実行して、修正版になっているか確認してください。

AWS LambdaやVercelの管理範囲

クラウドでは、どこまでを事業者が管理して、どこからが利用者の責任なのかが、設定によって変わります。

たとえばAWS Lambdaは、ランタイムの更新方法の設定や、コンテナイメージで動かしているかどうかで、利用者がやるべきことが変わります。Vercelなどでは、プロジェクトの設定でNode.jsのバージョンを固定していないかを確認するとよいです。

私が調べた範囲では、各社の個別の対応状況を、まとめて確認できる一次情報は見つけられませんでした。利用中のサービスの公式のお知らせと、プロジェクトの設定画面を、自分で見てください。

古いNode.jsを使い続けるリスク

サポートが終了している系列には、修正版が提供されません。公式の発表にも、サポートが終わった版は、セキュリティ更新のたびに影響を受けると書かれています。

もし20系などを使っているなら、「今回だけ更新する」のではなく、サポート中の系列へ移る計画を立てるタイミングです。いきなり本番で上げず、テスト環境で動作を確かめてから進めてね。

また、もし何かあって外部の人にサーバーの中身を見られた場合に備えて、パスワードや鍵の使い回しをしていないか見直しておくと、被害が広がりにくくなります。パスワードまわりの確認は、こちらの記事も参考にしてみてください。

→ ソースネクスト情報漏洩｜自分は対象？確認方法とパスワード変更・カードへの影響

まとめ｜Node.jsを使っているか確認し、必要なら更新を

今回のNode.jsの脆弱性は、10件のうち4件が深刻度Highで、そのなかにはリモートコード実行につながる可能性があるCVE-2026-111497も含まれています。一方で、被害が広がっているという確かな情報は、私が調べた範囲では確認できていません。

取るべき行動は、3つのステップです。

1. Node.jsを使っている環境かどうかを確認する。
2. 使っているなら、node -v でバージョンを確認する（修正版は22.23.4、24.22.1、26.12.1）。
3. 対象なら、バックアップと動作確認をしたうえで修正版に更新し、動かしているアプリは再起動する。

WordPressを使っているだけの方は、Node.jsとPHPを混同しないことがいちばん大事です。PHPは各サーバー会社のお知らせを、Node.jsは自分の環境を確認してください。分からないときは、ひとりで抱えず、制作会社や社内の担当者に聞いてみてね。

よくある質問

Q. WordPressブログは危険ですか？

通常のPHP環境でWordPressを使っているだけなら、今回のNode.js本体の脆弱性が直接影響するわけではありません。ただし、Node.jsを併用している場合は、その環境の確認が必要です。

Q. ConoHa WINGを使っていますが対象ですか？

WordPressだけを使っていて、自分でNode.jsを動かす設定をしていなければ、通常は対象外と考えられます。念のため、サーバー会社の公式のお知らせと、自分の設定を確認してください。

Q. エックスサーバーでは自分で更新しますか？

サーバー側で管理されている部分は、利用者が更新するものではありません。自分でNode.jsを入れて動かしている場合だけ、そのNode.jsは自分で確認します。各社の対応状況は、公式のお知らせで確認してください。

Q. Node.jsが入っているか分かりません。

WindowsならPowerShell、Macならターミナルで node -v を実行してください。番号が出れば入っています。出なくても、他のツールに同梱されている可能性はゼロではありません。

Q. Node.js 20は使い続けられますか？

20系はサポートが終了しているため、今回の修正版は提供されません。公式の発表では、サポートが終わった版はセキュリティ更新のたびに影響を受けるとされています。サポート中の系列への移行を計画してください。

Q. 修正版は何ですか？

22系は22.23.4、24系は24.22.1、26系は26.12.1です。自分の系列と同じ番号か、それ以上のバージョンなら修正済みです。

Q. npm auditで問題なしなら安全ですか？

いいえ。npm auditは使っている部品の脆弱性を調べる道具で、Node.js本体の古さは判定できません。必ず node -v で確認してください。

Q. AIコーディングツールを使っている場合は？

ツール本体とMCPサーバーを分けて考えます。Node.jsで動くMCPサーバーや自動化ツールを使っているなら、そのパソコンのNode.jsを確認して、必要なら更新してください。

Q. Dockerも更新が必要ですか？

必要です。コンテナの中のNode.jsは、パソコンのNode.jsとは別です。もとになるイメージを取り直して、作り直し、入れ替えまで行います。

Q. 更新したらサイトが止まることはありますか？

あります。特に新しい系列に大きく上げたときは、プログラムが動かなくなる可能性があります。バックアップとテスト環境での動作確認をしてから進めてください。

Q. 実際の被害は発生していますか？

公式の発表では、被害の報告は確認できません。私が調べた範囲でも、2026年10月22日時点で、攻撃が広がっているという確かな情報は確認できていません。今後変わる可能性はあります。

Q. PHPの脆弱性とどちらを先に対処すべきですか？

WordPressを使っているなら、まずPHPのお知らせとサーバー会社の案内を確認するのが先です。Node.jsは、自分の環境で使っている場合に確認する、という順番がわかりやすいです。

おすすめアイテム

パスワード管理は1Password

サーバーや開発の環境を触る人ほど、ログイン情報やAPIの鍵がどんどん増えていくよね。1Passwordならサービスごとに別々の長いパスワードを作って保管してくれるから、どこかで漏れても他のサービスへ広がるリスクを減らす手段のひとつになるよ。

ビサイユのトートバッグ

更新作業やテストの合間にノートパソコンを持って出かける日は、軽くて雨にも強いバッグがあると助かるよね。ビサイユのトートバッグは超軽量で撥水加工、スキミング防止ポケットも付いているよ。

軽量ショルダーBCS-140

スマホと財布だけで身軽に出かけたい日もあるよね。撥水加工とスキミング防止、多収納を備えた軽量ショルダーBCS-140なら、小さめでも荷物がすっきり収まるよ。