· adswds-team · セキュリティ · 5 min read
Node.js が緩い IP 表記をホスト名として通した：CVE-2026-106069
2026-10-21 の Node セキュリティリリース。CVE-2026-106069（high）は、ホスト名が IP へ緩く解決されるとき証明書のホスト名検証を迂回する。26/24/22 が対象。全角数字の CVE-2026-105483 は 26.x と 24.x のみ。
Node.js の 2026-10-21 セキュリティリリースで、CVE-2026-106069 の題は、ホスト名が IP アドレスへ緩く解決されるとき TLS 証明書のホスト名検証を迂回できる、というもの。深刻度は high。影響は 26.x、24.x、22.x。修正版は 26.12.1、24.22.1、22.23.4。リリースノートの変更は Matteo Collina の tls: reject non-canonical IP addresses で、中程度の CVE-2026-106072 も同じ行に付く。
一言で：証明書が見た名前と、接続先だと思っていたホストがずれ得る。
告知は悪用中とも、再現用のホスト名例とも書いていない。以下は公開された範囲だけを記す。
同日のホスト名 3 件。影響ラインを写し間違えない
| CVE | 題が言うこと | 深刻度 | ライン |
|---|---|---|---|
| CVE-2026-106069 | ホストが IP へ緩く解決されるときのホスト名検証迂回 | high | 26.x、24.x、22.x |
| CVE-2026-106072 | 非正規 IPv4 ホスト名で、DNS SAN が IP エンドポイントを認証できてしまう | medium | 26.x、24.x、22.x |
| CVE-2026-105483 | IP を全角数字で書いたときの迂回 | high | 26.x と 24.x のみ |
22.23.4 の注目変更には 106069 / 106072 があり、105483 はない。24.22.1 と 26.12.1 には James M Snell の tls: fix ip normalization regression があり、これが 105483 に対応する。22 LTS でも 106069 を直すには 22.23.4 が要る。「22 に 105483 はない」は、上げなくてよい理由にならない。
保守終了の Node メジャーは、セキュリティリリース時に影響ありとされ、今回の修正は入らない。
外向き HTTPS
公式は「すべての HTTPS クライアントが直ちに中間者される」とは書いていない。題から言えるのは、IP とみなせるホスト名に対する検証が緩く、106072 の題は DNS SAN で IP エンドポイントを認証できると明記している、ということまでである。
見るべきは TLS クライアントとしての Node である。
- 計測、ポストバック、オブジェクトストレージ、決済コールバックへ
tls/https/ fetch で出るサービス； - 設定、リクエスト、上流リダイレクトから組み立てたホスト文字列；
- 検証をすでに切っている内部エンドポイント。このパッチは検証を再びオンにしない。
更新後はプロセスを再起動し、イメージを組み直す。同じビルドはルート証明書を NSS 3.131.1 へ更新し、ca-cert に eMudhra 中間 CA の更新を挙げ、遮断された公開鍵を含むチェーンを拒否する。これは証明書ストアの更新であり、106069 そのものではない。
配信経路での位置
静的ファイルや PHP のランディングを、訪問者のブラウザが開くだけではこの CVE は通らない。通るのは Node 自身が TLS クライアントのときである。CI のパッケージ取得、コンバージョンのポストバック、サーバ側の素材 CDN 取得が該当する。ブラウザ側の HTTPS 方針は別件で、Chrome 154 の HTTP 確認を参照。
同日の Brotli は CVE-2026-111497。セキュリティリリースを一度入れる方が、CVE ごとに再起動して 22 と 24 の差を落とすより漏れが少ない。
まとめ
CVE-2026-106069 は high の証明書ホスト名迂回で、22、24、26 が影響一覧に入る。修正は 22.23.4 / 24.22.1 / 26.12.1。全角数字の CVE-2026-105483 も high だが、告知は 26.x と 24.x だけを挙げる。外向き TLS を開く Node プロセスを更新して再起動する。
