サイバーセキュリティ

Node.jsの脆弱性10件（CVE-2026-111497ほか）エンジニア向けまとめ：2026年10月21日のセキュリティリリース

2026年10月21日、Node.jsが10件の脆弱性（High 4件、Medium 3件、Low 3件）を修正するセキュリティリリースを公開しました。最重要のBrotliデコーダのRCE（CVE-2026-111497）、TLSのホスト名検証の回避3件、20.x・25.xの扱い、更新手順を、Node.js公式の情報を軸に整理します。

PHPの重大な脆弱性「php2shell」（CVE-2026-109618／109619）エンジニア向けまとめ【随時更新】

2026年10月21日、PHPが認証不要のリモートコード実行につながる重大な脆弱性2件（CVE-2026-109618／109619、CVSS v4 9.2）の修正版を公開しました。影響範囲、確認方法、更新できない場合の暫定設定、悪用状況と情報の確度を、公式アドバイザリを軸に整理します。毎日更新しています。

セキュリティの記事を、すべて見る →

まず確認したい6つのこと

IPA（情報処理推進機構）が2026年10月9日に出した注意喚起と、2025年の大きな被害の事例をもとにした、優先度の高い確認事項です。

01

公開しているものを、全部把握する

自社で運用しているWebサイトやアプリ、使っているクラウドや外部サービスを、部署単位のものも含めて書き出します。侵害の起点は、外部に公開しているアプリケーションやサービス、またはアカウントだと考えられています（IPAの注意喚起）。

02

ログインを、多要素認証にする

管理者と、委託先のアカウントから始めます。アスクルの被害では、委託先の管理者アカウントに多要素認証がなかったことが、突破口になりました（IT Pro（Impress））。

03

修正パッチを、期限を決めて当てる

CMS、プラグイン、ライブラリ、PHPやNode.jsなどの実行環境まで含めます。PHPとNode.jsは、10月に重大な修正版が出ています（PHPの記事、Node.jsの記事）。

04

ログを見て、異常を探す

直近1か月、次に3か月の範囲で、ログイン失敗の増加や、覚えのないアカウントがないかを確認します（IPAの注意喚起）。

05

持たない、残さない

使わなくなった個人情報や、使っていないアカウントは消します。IPAは、「不要な情報は持たない」を基本原則としています（IPAの注意喚起）。

06

バックアップを、戻せる形で、別の場所に

本番とは別の、攻撃の届かない場所に置き、実際に戻せるかを試します。アスクルは、ランサムウェアを想定したバックアップ環境がなく、復旧が長引いたと説明しています（IT Pro（Impress））。

ご相談について

弊社は、Webサイトやシステムの制作・開発を行う会社です。次のようなご相談をお受けします。

PHP・Node.jsなどの環境の洗い出しと更新

どのサーバーで、どのバージョンが動いているかを確認し、更新と、更新後の動作確認を行います。

Webサイト・Webサービスの見直し

公開している範囲、ログイン、API、ログの設定を確認して、直すところを整理します。

AI導入・業務システムの権限とデータ

AIに渡す権限、システムに残すデータ、人が確認する場面を、作る前の段階から、一緒に決めます。

侵害が疑われる場合は、ログを保全したうえで、専門のセキュリティベンダーによる調査をおすすめします。IPAも、異常が見つかった場合の、専門ベンダーへの詳細調査の依頼を強く推奨しています（IPAの注意喚起）。弊社が行うのは、Webサイトやシステムの側の確認と、更新・修正の作業です。

無料相談

最新の解説記事