2026年10月21日、Node.jsのセキュリティ更新が公開されました。

Node.js 26.13.0では、Node.js 26系列が「Current」から長期サポート版の「Active LTS」へ移行した。LTSのコードネームは「Lithium」。2027年10月20日までActive LTSとして更新され、その後はMaintenance LTSへ移行し、2029年4月30日にサポートを終了する予定となっている。

2026年10月、Node.jsに関係する深刻な脆弱性が「HTTP2Shell」や「Node2Shell」という名前で話題になりました。 識別番号は「CVE-2026-111497」です。 ひと言でまとめると、Node.jsが内部で利用している圧縮技術「Brotli」のデコーダーに問題があり、細工された圧縮データを展開すると、プログラムが使ってよい範囲を越えてメモリへ書き込む可能性がある、という脆 ...

神戸ソフト株式会社（本社：兵庫県神戸市中央区、代表取締役：松岡 利昌）は、ブラウザのタブの中だけで Node.js と npm を動かす小さな仮想マシン「OpenVessel（オープンベッセル）」を、オープンソースソフトウェア（Apache ...

Node.jsは10月21日、同梱のBrotliデコーダの範囲外書き込み（CVE-2026-111497）を修正しました。遠隔からのコード実行につながりうる欠陥で、本体はGoogleのBrotliです。PythonやDebianにも更新が及び、Deb ...

「Node.js」のセキュリティアップデートが10月21日（協定世界時）、予告通りに実施された。今回リリースされたバージョンは、以下の通り。できるだけ早い更新が望ましい。 今回の更新全体で修正された脆弱性は10件。系列別では、v26系が10件、v24系が8件、v22系が7件となる。深刻度の内訳は「High」が4件、「Medium」が3件、「Low」が3件。

Brotliの重大脆弱性CVE-2026-111497（HTTP2Shell／Node2Shell）がNode.js、Python、Bun、Envoy、Istioに波及。CVSS、PoC公開状況、修正版、PHP2Shellとの違いを確認し、企業の資産・バージョン把握とアップデート計画を解説 ...

さまざまなアプリケーションやWebサービスなどで広く使われているプログラミング言語やツールでの脆弱性報告が続いている。オープンソースのプログラミング言語「PHP」では10月21日、リモートコード実行につながる脆弱性があったとして情報とパッチを公開。J ...

The main JavaScript bundle is about 40 KiB smaller than in 0.4.3; the final CI-built VSIX remains about 602 KiB including the new update feature and documentation, with no new runtime dependencies.