Node.js の11月のセキュリティ更新で16件を修正：22・24・26 が対象、20 以前には修正版が出ていない。業務システムの版を委託先に聞く

Node.js は2026年11月11日、22.23.5・24.22.3・26.13.1 を公開し、16件の脆弱性を直しました。Node.js は、Web の業務システムや管理画面、社内のツールのサーバー側を動かすソフトです。開発会社に作ってもらったシステムで、担当者が知らないうちに使われていることもあります。Node.js 22・24・26 のどれも修正の対象で、20 以前には修正が出ていないので、今日のうちに委託先に聞きます。

何が変わったか

中身は、Node.js の「Node.js Security Releases: Wednesday, November 11, 2026」と、版ごとのサポートの期限を示す「Node.js Release Working Group」で確かめました。脆弱性ごとに対象の版が違い、16件すべてが 22・24・26 のすべてに当てはまるわけではありません。どの機能を使っていると影響を受けるかは脆弱性ごとに違うため、自社のシステムで急ぐ必要があるかは、委託先に判断してもらいます。

自社が関係するかの見分け方

サポートが終わった部品を使い続けるときの考え方は「古いシステムを延命すると決めたら」でまとめました。

今日やること

1. システムを書き出す：社内で使っている Web の業務システム、管理画面、社内向けのツールを書き出す
2. Node.js を使っているか、版はいくつかを聞く：システムごとに、作った会社か保守している会社に聞く
3. 更新の日を決める：22・24・26 なら、今回の版に上げる日を決める。インターネットに公開しているものから先に
4. 20 以前なら、移る予定を決める：修正版が出ていないので、移る版（24 か 26 が候補）と時期を相談する
5. 版を一覧に書く：更新したら、版と日付を部品の一覧に残す

保守会社に聞くこと

• 自社のシステムで Node.js を使っているか、版はいくつか
• 今回の16件のうち、自社のシステムで影響を受けるものがあるか。更新をいつ当てるか
• 20 以前なら、移る版と時期、費用。更新が月々の保守の範囲か、別の見積もりか

開発会社や保守会社に確かめたいセキュリティの項目は「開発会社に確認したいセキュリティの項目」でまとめました。

そのほかの動き

• Movable Type のセキュリティ更新：シックス・アパートは11月11日、外から任意の PHP コードを実行されるおそれのある脆弱性を直した版を公開しました（シックス・アパート）。会社のサイトが Movable Type なら、版を制作会社に確かめます。
• PHP 8.2 のサポート終了まで約7週間：PHP 8.2 のセキュリティの修正は2026年12月31日に終わります。進め方は「PHP 8.2 のサポート終了までにやること」で書きました。
• Windows の NTLM 署名の強化：2027年5月に、Windows Server が NTLM の接続で、既定で署名を必須にする予定です（Microsoft KB5135557）。

クリーヴァに相談するとき

業務システムが何で動いているか分からない、版を上げる人がいない、といった場合は、使っている部品と版の一覧を作るところからお手伝いします。

出典（2026年11月13日に確認）

• Node.js「Node.js Security Releases: Wednesday, November 11, 2026」（2026年11月11日）
• Node.js「Node.js Release Working Group（リリースの予定）」
• シックス・アパート「［重要］Movable Type 8.8.7 / 8.0.14、Movable Type Premium 2.19 の提供を開始（セキュリティアップデート）」（2026年11月11日）
• Microsoft「NTLM signing security improvements in Windows（KB5135557）」（2026年11月10日）