· adswds team · セキュリティ
dns.resolve は NUL で名前を切る：Node.js CVE-2026-105482
Node.js 2026-10-21：CVE-2026-105482（high）。dns.resolve は NUL を含む名前を切り詰める。26.x、24.x、22.x が対象。空バイトの検証が 26.12.1、24.22.1、22.23.4 に入る。
セキュリティ
「セキュリティ」の記事一覧
· adswds team · セキュリティNode.js が緩い IP 表記をホスト名として通した：CVE-2026-106069
2026-10-21 の Node セキュリティリリース。CVE-2026-106069（high）は、ホスト名が IP へ緩く解決されるとき証明書のホスト名検証を迂回する。26/24/22 が対象。全角数字の CVE-2026-105483 は 26.x と 24.x のみ。
· adswds team · セキュリティ同じ worker の次のリクエスト：PHP CVE-2026-109619
2026-10-21 のもう一つの重大脆弱性 CVE-2026-109619（CVSS 4.0 9.2）。リクエストヒープ解放後も worker が古いグローバル状態を持つ。セッションのアップロード進捗経路は mod_php と FPM で RCE が検証済み。
· adswds team · セキュリティNode.js の Brotli デコーダが範囲外へ書く：CVE-2026-111497
Node.js 公式（2026-10-21）：CVE-2026-111497 は high。Brotli デコーダの範囲外書き込みがリモートコード実行を許す。26.x / 24.x / 22.x が対象。修正は 26.12.1、24.22.1、22.23.4。
· adswds team · セキュリティPHP のメモリ枯渇が未認証 RCE になる：CVE-2026-109618
PHP 公式（2026-10-21）：CVE-2026-109618（CVSS 4.0 9.2）。OOM が初期化途中のリクエストを中断し、mod_php では未認証 RCE が実証済み。修正は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。
· adswds team · セキュリティnpm 信頼公開の48時間ルール：スラッグ再利用の後に CI が変えること
藍点網：GitHub が npm Trusted Publishing に48時間内初回成功公開を要求し、リポジトリ名再利用リスクを遮断。issue_comment トークンも拒否。広告 LP の CI を締めよ。