Vulnerability Identifier: NR26-11
Priority: 高
概要
このたび、パブリックロケーションおよびプライベートロケーションを使用しているNew Relic外形監視の顧客に顧客の対応が必要となる可能性がある、Node.jsバージョン（22.x、24.x、26.x）の重大なセキュリティ脆弱性についてお知らせするために、本セキュリティ速報を発行いたします。
修正済みバージョン： Node.jsの修正済みバージョンは22.23.4、24.22.1、および26.12.1です。
サポート終了（EOL）バージョン： Node.js 16.xを含む、Node.js 20以前のバージョンはサポートが終了しており、Node.jsプロジェクトからパッチは提供されません。Node.jsのEOLバージョンに対する唯一の対応策は、サポートされているリリースへの移行です。
必要なアクション
これらの脆弱性は、パブリックロケーションとプライベートロケーションの両方を使用している外形監視の顧客に影響します。それぞれに対する顧客の対応は以下のとおりです。
パブリックロケーション
顧客のアクションは、モニターが最新のランタイムを使用しているかどうかによって異なります。
- 対応不要：パブリックロケーションにデプロイされた、最新のサポート対象ランタイムを使用しているモニターについては、対応は不要です。
ランタイム | 実施されたアクション |
|---|---|
Node APIランタイム（ |
|
ノードブラウザランタイム | すべてのブラウザモニターは、パッチが適用された最新のNodeバージョンにアップグレードされました。 |
- 必要な対応：モニターが最新のランタイムを使用していない顧客は、New Relicの以前の通知に従って更新する必要があります。Scripted APIモニターが古いNode.jsランタイムを使用している場合は、できるだけ早く更新してください。手順については、Scripted APIモニターをNode.js 22にアップグレードするをご覧ください。
ランタイム | 必要なアクション |
|---|---|
Node APIランタイム（ | Node 16で有効になっているスクリプト化されたAPIモニターは、Node 22.23.4に自動アップグレードされません、アップグレードによって顧客所有のモニターが機能しなくなる可能性があるためです。 2026年11月18日までに、スクリプト化されたAPIモニターをNode 16からNode 22.23.4にアップグレードすることをお勧めします。その日以降、古いAPIランタイムはサポートされなくなります。 |
プライベートロケーション
必要なアクション：プライベートロケーションの場合、これらのCVEを修正するには、最新のランタイムイメージをプルする必要があります。latestタグを使用していない場合、プライベートロケーションにデプロイされたモニターに対する対応が必要です。
node-api-runtimeおよびnode-browser-runtimeのコンテナイメージはNode.jsをバンドルしており、この脆弱性の直接的な影響を受けます。セキュリティスキャナーが外形監視ジョブマネージャー（SJM）およびping-runtimeイメージ内のCVEを検出する場合がありますが、これらのランタイムが悪用される恐れはありません。これを解消するため、これらのCVEはSJM v642およびping-runtime 1.87.0の次期リリースで対処される予定です。
プライベートロケーションを実行している場合は、次の手順を実行してください。
影響を受けるランタイムイメージの最新バージョンをプルしてください：
bash$# Node API runtime$docker pull newrelic/synthetics-node-api-runtime:latest$$# Node browser runtime$docker pull newrelic/synthetics-node-browser-runtime:latest修正を適用するには、更新されたイメージをプルした後、コンテナを再起動してください。
詳細については、ランタイム移行ガイドをご覧ください。
重要なお知らせ：Node.js 16.xのスクリプト化されたAPIモニター
Node.js 16.xで実行するように構成されたスクリプト化されたAPIモニターがある場合は、次の点にご注意ください：
- Node.js 16.xはすでにサポート終了（EOL）に達しているため、Node.jsプロジェクトからこれらのCVEに対するセキュリティパッチは提供されません。
- スクリプトの互換性を保証できないため、New RelicはNode.js 16.xのモニターをNode 22.xに自動的に強制アップグレードしていません。一部のモニタースクリプトは、Node 22.xで正しく実行するためにコードの変更が必要になる場合があります。
2026年11月18日まで待つことなく、できるだけ早くNode 16.xモニターを確認し、Node 22.23.4へ移行することを強くお勧めします。移行手順の詳細については、Scripted APIモニターをNode.js 22にアップグレードするを参照してください。
技術的な脆弱性情報
Node.jsのバージョン（22.x、24.x、26.x）全体で10件のCVEが公開され、そのうち4件は深刻度が「高」と評価されています。
重大度の高いCVE：
その他のCVE：
よくあるご質問
外形監視ジョブマネージャー（SJM）& ping-runtimeを更新する必要がありますか？
修復のための即時更新は必要ありません。脆弱性スキャナーがSJMおよびping-runtimeのCVEを報告する場合がありますが、これらのコンポーネントが悪用される恐れはありません。ただし、今後のリリース（SJM v642およびping-runtime 1.87.0）でこのCVEに対処する予定です。検出ゼロのコンプライアンスレポートを維持したい場合は、これらのリリースに更新することをお勧めします。
ランタイムイメージを更新すると、実行中のモニターに影響しますか？
ランタイムイメージの更新後も、モニターは引き続き正常に実行されます。Node 22.xで実行されているモニターの動作に変更はありません。
CVE-2026-111497はリモートで悪用される可能性はありますか？
はい。これはリモートコード実行の脆弱性です。これは、攻撃者が制御するサーバーからNode.jsプロセスがBrotli圧縮されたHTTPレスポンスを受信した際にトリガーされる可能性があります。ローカルアクセスは不要です。
Node 16.xのモニターを実行しています。リスクはありますか？
はい。Node 16.xはサポートが終了しており、パッチは適用されません。Node 22.23.4に移行するまで、モニターは脆弱なままです。ランタイムアップグレードツールを使用して、ご自身で実行できます。詳細については、モニターのランタイムの管理を参照してください。
Node 16.xモニターが自動的にアップグレードされなかったのはなぜですか？
Node 22.xにはNode 16.xからの破壊的変更が含まれており、これについてはNew Relicから以前にお知らせしています。現在もNode 16.xを使用しているScripted APIモニターは、エラーなしに自動アップグレードできなかったものです。そのため、New Relicは意図しないモニターの破損を避けるべく、これを顧客主導のアップグレードとしました。以前にお知らせしたEOLのスケジュールに従い、2026年11月18日にNode 16.xのモニターを強制アップグレードします。
プライベートロケーションのランタイムを更新した後、何かを再起動する必要がありますか？
コンテナの再起動のみが必要です。ホストの再起動は必要ありません。
さらに質問がある場合は、どこに問い合わせればよいですか？
New Relicプラットフォームのヘルプセクションから、サポートチームにケースをオープンしてください。
出版履歴
2026年10月21日 - Node.jsのCVE公開
2026年10月27日 - NR26-11 公開