リモートホストにインストールされている Node.js のバージョンは、22.23.4 より前の 22.x、24.x より前の 24.22.1、または 26.12.1 より前の 26.x です。したがって、2026年10月21日水曜日のセキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Brotli デコーダーの領域外書き込みにより、リモートコードの実行が許可される可能性があります。(CVE-2026-111497)

  - dns.resolve は、NULL 文字を含む名前を切り捨てます。(CVE-2026-105482)

  - ホストが IP アドレスに緩やかに解決する場合、TLS 証明書のホスト名の検証をバイパスする可能性があります。
    (CVE-2026-106069)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1792760716アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - HTTP Agent 接続の再利用Node.js欠陥があるため、クライアントがリクエストを送信する前に送信された応答を、クライアントが有効なものとして受け入れてしまう可能性があります。これは、 CVE-2026-48931の不完全な修正です。予期しないデータが到着したときにアイドル状態の keep-alive ソケットを破壊するガードは、イベントループが I/O をポーリングする場合にのみ実行されます。
    要請されていない応答がすでにソケットに到達しているが、ソケットが新しいリクエストに渡されたときにまだ読み取られていない場合 (たとえば、イベントループが同期作業でビジー状態だったため)、ガードはそれを表示せずに削除され、データは新しいリクエストに対する応答として解析されます。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-105481)

  - Node.js DNS 解決の欠陥により、NULL バイトを含むホスト名が、dns.resolve*() 関数および dns.reverse() 関数によって警告なしに切り捨てられる可能性があります。これは CVE-2026-48930 の不完全な修正であり、dns.lookup() および net/tls ホストオプションのみをカバーしていました。名前はC文字列としてc-aresに渡されるため、attacker.example\0.trusted.exampleを解決するとattacker.exampleがクエリされ、エラーなしでそのレコードが返されます。たとえばドメイン許可リストに対してホスト名を検証し、dns.resolve*() で解決するアプリケーションは、検証した名前とは異なる名前のレコードに作用できます。この脆弱性は、Node.js 26.x、 24.x、 22.xに影響します。(CVE-2026-105482)

  - TLSホスト名検証Node.js欠陥により、ホストが「0127.0.0.1」などの先頭ゼロがある非標準的な IPv4 リテラルである場合、クライアントが接続した IP アドレスとは異なる IP アドレスに対してサーバー証明書が検証される可能性があります。 「tls.checkServerIdentity()」は、先行ゼロのオクテットを 8 進数として読み取る WHATWG URL ルールに従ってホストを正規化します(「0127.0.0.1」は「」になります87.0.0.1接続はオペレーティングシステムのリゾルバーを介して行われますが、macOSなどの一部のプラットフォームでは10進数(「127.0.0.1」)として読み取られます。接続先のアドレスのサーバーは、別の IP アドレスに対して発行された証明書を使って認証される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。
    (CVE-2026-106069)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1792760716アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - HTTP Agent 接続の再利用Node.js欠陥があるため、クライアントがリクエストを送信する前に送信された応答を、クライアントが有効なものとして受け入れてしまう可能性があります。これは、 CVE-2026-48931の不完全な修正です。予期しないデータが到着したときにアイドル状態の keep-alive ソケットを破壊するガードは、イベントループが I/O をポーリングする場合にのみ実行されます。
    要請されていない応答がすでにソケットに到達しているが、ソケットが新しいリクエストに渡されたときにまだ読み取られていない場合 (たとえば、イベントループが同期作業でビジー状態だったため)、ガードはそれを表示せずに削除され、データは新しいリクエストに対する応答として解析されます。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-105481)

  - Node.js DNS 解決の欠陥により、NULL バイトを含むホスト名が、dns.resolve*() 関数および dns.reverse() 関数によって警告なしに切り捨てられる可能性があります。これは CVE-2026-48930 の不完全な修正であり、dns.lookup() および net/tls ホストオプションのみをカバーしていました。名前はC文字列としてc-aresに渡されるため、attacker.example\0.trusted.exampleを解決するとattacker.exampleがクエリされ、エラーなしでそのレコードが返されます。たとえばドメイン許可リストに対してホスト名を検証し、dns.resolve*() で解決するアプリケーションは、検証した名前とは異なる名前のレコードに作用できます。この脆弱性は、Node.js 26.x、 24.x、 22.xに影響します。(CVE-2026-105482)

  - TLSホスト名検証Node.js欠陥により、ホストが「0127.0.0.1」などの先頭ゼロがある非標準的な IPv4 リテラルである場合、クライアントが接続した IP アドレスとは異なる IP アドレスに対してサーバー証明書が検証される可能性があります。 「tls.checkServerIdentity()」は、先行ゼロのオクテットを 8 進数として読み取る WHATWG URL ルールに従ってホストを正規化します(「0127.0.0.1」は「」になります87.0.0.1接続はオペレーティングシステムのリゾルバーを介して行われますが、macOSなどの一部のプラットフォームでは10進数(「127.0.0.1」)として読み取られます。接続先のアドレスのサーバーは、別の IP アドレスに対して発行された証明書を使って認証される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。
    (CVE-2026-106069)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js DNS 解決の欠陥により、NULL バイトを含むホスト名が、dns.resolve*() 関数および dns.reverse() 関数によって警告なしに切り捨てられる可能性があります。これは CVE-2026-48930 の不完全な修正であり、dns.lookup() および net/tls ホストオプションのみをカバーしていました。名前はC文字列としてc-aresに渡されるため、attacker.example\0.trusted.exampleを解決するとattacker.exampleがクエリされ、エラーなしでそのレコードが返されます。たとえばドメイン許可リストに対してホスト名を検証し、dns.resolve*() で解決するアプリケーションは、検証した名前とは異なる名前のレコードに作用できます。この脆弱性は、Node.js 26.x、 24.x、 22.xに影響します。(CVE-2026-105482)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1792746902アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - この脆弱性の影響を受けるのは、Node.js 26.x、 24.x、 22.xです。この脆弱性を報告してくれた hasanfleyah 氏、および修正してくれた jasnell 氏に感謝の意を表します。(CVE-2026-105481、 CVE-2026-105482)

  - この脆弱性の影響を受けるのは、Node.js 26.x、 24.x、 22.xです。この脆弱性を報告してくれた anagnorisis2peripeteia 氏、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-106069)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
370490	Node.js 22.x < 22.23.4 / 24.x < 24.22.1 / 26.x < 26.12.1 複数の脆弱性	Nessus	Misc.	2026/10/22	2026/10/23	critical
371422	AlmaLinux 9.6 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etcの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1792760716)	Nessus	Alma Linux Local Security Checks	2026/10/23	2026/10/23	high
371430	Rocky Linux 9.6 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc 複数の脆弱性(ALMALINUX9.6:CLSA-2026:1792760716)	Nessus	Rocky Linux Local Security Checks	2026/10/23	2026/10/23	high
370551	Linux Distros のパッチ未適用の脆弱性: CVE-2026-105482	Nessus	Misc.	2026/10/22	2026/10/23	high
371204	AlmaLinux 9.2 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1792746902)	Nessus	Alma Linux Local Security Checks	2026/10/23	2026/10/23	critical

検出

プラグインの検索

critical

high

high

high

critical