つみかさね

【リリース日報】Node.jsセキュリティリリースv26.12.1ほか最新5件

2026-10-22データソース: GitHub Releases, endoflife.date, npm, PyPI
Major
3
Minor
1
Patch
1
Prerelease
0

対応判断サマリー

high対応必須
Node.js v26.12.1 セキュリティリリース（複数CVE修正）
nodejs-26.12.1
利用中の系列（26.x/24.x/22.x）に対応する修正版へ更新
high対応必須
TypeScript v7.0.2 メジャーアップデート
typescript-7.0.2
公式アナウンスを確認し検証環境で動作を確認
high対応必須
Vite v8.3.5（バグ修正中心のアップデート）
vite-8.3.5
通常のnpm updateで追従可能か確認
high推奨
@astrojs/vue v7.1.2（Node.js最小バージョン引き上げ）
astro-vue-7.1.2
ランタイムのNode.jsを22.23.4以上に更新
medium推奨
Docker v29.9.2（Go runtimeセキュリティ更新）
docker-29.9.2
レジストリ証明書チェーンに失効済みeMudhra中間証明書が含まれないか確認
Node.jsTypeScriptViteDockerAstroセキュリティリリースEOL

本日は監視対象リポジトリのうち5件で新リリースが確認されました。最大の注目点はNode.js v26.12.1のセキュリティリリースで、TLS・DNS関連を含む複数の高リスクCVEが修正されています。加えてTypeScript 7.0系のメジャー更新、そしてNext.js 15が昨日（2026年10月21日）付でEOLを迎えた点も見逃せません。

リリースサマリー

フレームワークバージョンタイプカテゴリ
Node.jsv26.12.1majorlanguage
TypeScriptv7.0.2majorlanguage
Vitev8.3.5majortool
Astro（@astrojs/vue）7.1.2minorfrontend
Dockerv29.9.2patchinfra

メジャーリリースの詳細解説

Node.js v26.12.1 major

今回のリリースは セキュリティリリース で、Current（26.x）系列だけでなく LTS/Maintenance 系列の v24.22.1 ・ v22.23.4 も同日に合わせて修正版が出ています。主な修正内容は次の通りです。

  • （CVE-2026-106069, CVE-2026-106072）tls: 非正規なIPアドレス表現を拒否 — High
  • （CVE-2026-105482）dns: resolve系APIの入力でnullバイトを検証 — High
  • （CVE-2026-105483）tls: IP正規化処理の回帰バグ修正 — High
  • （CVE-2026-111497）src/deps: brotliデコーダ関連の修正 — High
  • （CVE-2026-105481）http: Agentのデータガード処理の修正 — Medium
  • （CVE-2026-106074）crypto: スナップショット間での乱数キャッシュのリセット — Medium
  • そのほか zlib ・ fs permission ・ permission model 関連の低〜中リスク修正

破壊的変更の記載はなく、APIの挙動変更ではなく脆弱性修正が中心です。利用しているNode.jsの系列（26.x / 24.x / 22.x）に対応する修正版へのアップデートを推奨します。

Node.js v26.12.1 リリースページ

TypeScript v7.0.2 major

TypeScriptチームが公開した「Announcing TypeScript 7.0」の案内に紐づくリリースです。リリースノート本文には詳細な変更点リストは記載されておらず、公式ブログへのリンクのみが示されています。すでに v7.1-beta も確認できるため、7.0系は足早に次のマイナーへ向かっている状況です。

具体的な変更点は公式アナウンス記事（devblogs.microsoft.com）側で確認する必要があります。大きなアーキテクチャ変更を伴うメジャーリリースである可能性が高いため、既存プロジェクトでは検証環境での動作確認を先に行うのが安全です。

TypeScript v7.0.2 リリースページ

Vite v8.3.5 major

データ上は major 区分となっていますが、公開されているChangelogの内容は直前バージョン（v8.3.4）からのバグ修正が中心です。

  • ビルド時のchunk import map欠落を修正
  • preload依存関係をchunk import mapのハッシュ計算に含めるよう修正
  • 開発サーバーで server.origin がアセットURLに正しく適用されるよう修正
  • フォールバックページにUTF-8のcharset指定を追加

破壊的変更の記載は見当たらず、実質的には安定性改善のリリースです。通常の npm update で問題なく追従できる内容です。

Vite v8.3.5 リリースページ

マイナー/パッチリリース一覧

  • Astro（@astrojs/vue） 7.1.2 minor — 2026年10月のNode.jsセキュリティリリースに合わせて、サポートする最小Node.jsバージョンを 22.23.4 に引き上げ。本体はパッチ扱いの変更ですが、Node.js側のセキュリティ対応に連動した更新です。
  • Docker v29.9.2 patch — セキュリティ修正を含みます。Go runtimeの更新により、失効済みのeMudhra中間証明書（domain validated / organization validated / extended validation TLS）を含む証明書チェーンを拒否するようになりました。該当する中間証明書を使うレジストリでは、イメージのpull/pushがTLS検証エラーで失敗する可能性があります。

EOL / サポート期限情報

  • Next.js 15系: 2026年10月21日（昨日）付で正式にEOLとなりました。LTSは現行の16系（最新 v16.4.2）に移っています。15系を利用中のプロジェクトは16系への移行計画を進めてください。
  • Kubernetes 1.34系: EOLまで残り5日（2026年10月27日予定）。1.35〜1.37系への更新を急ぎ検討してください。
  • PostgreSQL 14系: EOLまで約3週間（2026年11月12日予定）。15系以降への移行を計画しましょう。
  • Angular 20系: EOLまで約5週間（2026年11月28日予定）。21系・22系が利用可能です。
  • Spring Boot 4.0系: EOLまで約2ヶ月（2026年12月31日予定）。4.1系が後継です。

エコシステム動向

  • TypeScript（npm）: next dist-tagが 7.1.0-dev.20261021.1 となっており、7.0のリリース直後から7.1系の開発が進んでいることが確認できます。
  • Next.js（npm）: canary dist-tagは 16.5.0-canary.21。16系LTSの次のマイナーがすでに検証段階に入っています。
  • Prisma（npm）: latest は 8.0.0-rc.24 のままで、8.0の正式リリースはまだ先の見込みです。RC版を試す場合は本番導入前の検証を推奨します。

まとめ

本日の最重要ポイントはNode.jsのセキュリティリリースです。Current・LTS・Maintenanceの3系列すべてで修正版が出ているため、利用系列に応じたアップデートを早めに行うことを推奨します。加えて、Next.js 15のEOLとKubernetes 1.34のEOL接近（残り5日）という2つのサポート期限イベントが重なっており、移行計画が済んでいないチームは優先度を上げて確認することをおすすめします。TypeScript 7.0系の詳細は公式アナウンスの続報を待ちつつ、検証環境での早期キャッチアップが有効そうです。

データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

Xでシェアはてブ
データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。