つみかさね
N

Node.js v26.5.1

リリース日: 2026-07-30データソース: GitHub Releases, npm, endoflife.date
影響度スコア
82/ 100影響度: 高
Breaking Changes0/40
新機能0/25
バグ修正12/20
セキュリティ15/15
依存関係8/15

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1現在の Node.js バージョンを node -v で確認する
  2. 2テスト環境で v26.5.1 へ更新し動作確認する
  3. 3本番環境・コンテナイメージを更新する

影響対象

Node.js 26.x（Current）利用者

対応不要な人

  • ✓Node.js 26系を使用していない
  • ✓外部からの接続を一切受けない隔離環境で稼働している

補足

  • -セキュリティ修正のみで破壊的変更はないため、同一系列内の更新は低リスク
Node.jsJavaScriptランタイムセキュリティCVE

30秒で判断

  • 対応すべき人: Node.js 26.x（Current）を本番・開発で使用中のすべての利用者。特に HTTP/2 サーバー、permission モデル（--permission）、https・sqlite・dns・zlib を利用している環境
  • 対応不要な人: Node.js 26系を使用していない（ただし 25 は既にEOL、24 / 22 LTS は別途各系列のセキュリティリリースを確認すること）、外部からの接続を受けない完全に隔離された環境
  • 確認コマンド: node -v

この変更が意味すること

Node.js v26.5.1 は、Current（26系）に対する 緊急セキュリティリリースです。合計 10件のCVE が修正されており、うち High 深刻度が2件、Medium が5件、Low が3件です。

最も注意すべきは HTTP/2 の RST ストリーム処理（CVE-2026-56848, High）と、permission モデルの権限付与に関する不具合（CVE-2026-58043, High）です。前者はスコープ内での RST ストリームの扱いを見直すもので、HTTP/2 を有効にしているサーバーが対象になります。後者は --permission フラグでファイルシステムアクセス等を制限している環境に影響します。

セキュリティ修正のみのリリースで機能追加はなく、後方互換性は維持されています。稼働中のランタイムであれば、可能な限り早く v26.5.1 へ更新してください。

主な変更点

High 深刻度

  • CVE-2026-56848（http2）: defer rst stream while in scope — スコープ内での RST ストリーム処理を延期し、不正な挙動を防止
  • CVE-2026-58043（permission）: avoid granting radix split nodes — permission モデルで radix 分割ノードへ権限が付与されるのを回避

Medium 深刻度

  • CVE-2026-56850（https）: PFX オブジェクト配列のエージェントキーを区別
  • CVE-2026-58040（https）: 同一性チェックをセッション再利用に紐付け
  • CVE-2026-58041（sqlite）: ステートメントのリセット時にタグストアのイテレータを無効化
  • CVE-2026-58042（dns）: 大きな resolveAny アドレス応答を適切に処理
  • CVE-2026-58045（zlib）: 範囲外への書き込みバッファでスロー

Low 深刻度

  • CVE-2026-56847（permission）: トレースイベントに対する fs 書き込み権限を強制
  • CVE-2026-58039（permission）: 最終レポート出力パスをチェック
  • CVE-2026-58044（http）: 最大ヘッダ数を超えるリクエストを拒否

依存関係

  • llhttp を 9.4.3 に更新

EOL / サポート状況

バージョン系列ステータスEOL
26（Current）active2029-04-30（LTS入り 2026-10-28予定）
25eol2026-06-01
24（LTS）active2028-04-30
22（LTS）active2027-04-30

25系は既にEOLで、本セキュリティ修正の対象外です。25系を使っている場合は 26（Current）または 24 / 22（LTS）への移行を検討してください。

開発者への影響

  1. HTTP/2 サーバー運用者: RST ストリーム関連の High 修正が含まれるため、優先的に更新する
  2. permission モデル利用者: --permission で制限をかけている環境は、権限付与の不具合修正の恩恵を受ける
  3. https / sqlite / dns / zlib 利用コード: Medium 修正の対象。通常のアプリでも間接的に影響する可能性がある
  4. コンテナイメージの node ベースイメージを利用している場合は、ベースイメージの更新も合わせて計画する

アップデート方法

# nvm を使っている場合
nvm install 26.5.1
nvm use 26.5.1

# 現在のバージョン確認
node -v

Docker を使っている場合は node:26.5.1 系のイメージへ更新してください。

データソース: GitHub Releases API, endoflife.date, npm Registry AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

アップデート判断

★★★★★
早急なアップデートを強く推奨

アップデートすべき場合

  • ●Node.js 26.x を本番で稼働している
  • ●HTTP/2 サーバーを運用している
  • ●permission モデルで制限をかけている

様子見でよい場合

  • ●Node.js 26系を使用していない
  • ●外部接続を受けない隔離環境

EOL / サポート状況

Node.js 26ActiveEOL: 2029-04-30
Node.js 25End of LifeEOL: 2026-06-01
Node.js 24ActiveEOL: 2028-04-30
Node.js 22ActiveEOL: 2027-04-30
Xでシェアはてブ
データソース: GitHub Releases API, npm Registry, endoflife.date (MIT License), NVD (NIST)
AI解説は Claude API により自動生成されています。正確性については原文リリースノートをご確認ください。