セキュリティアップデート（CVE-2026-111497）：Node.jsの脆弱性を修正

2026年10月21日、Node.jsプロジェクトは、Node.jsに同梱されているBrotli展開ライブラリの深刻度の高い脆弱性CVE-2026-111497に対するセキュリティアップデートをリリースしました。

アプリケーションが攻撃者の細工したBrotliデータを展開すると、攻撃者がアプリケーションのメモリを破壊し、その中で任意のコードを実行できる可能性があります。この脆弱性は、Node.js 20以前などのサポート終了（EOL）バージョンを含む、パッチ未適用のNode.jsで動作するすべてのアプリケーションに影響します。Catalyst by Zoho固有の問題ではありません。

実施した修正

CatalystのマネージドNode.jsランタイムを、パッチ適用済みのバージョンに更新しました。

この修正は、Catalyst Functions、AppSail（Catalystマネージドランタイム）、Slateのビルド、およびCatalyst Pipelinesのデフォルトイメージに適用されます。デフォルトイメージは現在Node.js 24で動作します。

Catalyst by Zohoは、言語ランタイムのサポートポリシーに記載のとおり、サポート終了に達していないCatalystマネージドランタイムにのみこれらのセキュリティパッチを適用しています。サポート終了に達したランタイムとカスタムランタイムには、これらのパッチは適用されません。

サポート終了に達したランタイムを使用している場合は、サポート対象のランタイムにアップグレードしてアプリケーションを再デプロイしてください。パッチは自動的に適用されます。カスタムランタイムは独自のコンテナイメージで動作するため、パッチをご自身で適用する必要があります。

必要な対応

アプリケーションのランタイムを確認する

ファンクションまたはAppSailサービスが使用しているNode.jsのバージョンを確認するには、その中でprocess.versionをログに出力します。バージョンがNode.js 22でv22.23.4より前、またはNode.js 24でv24.22.1より前の場合は、以下の該当する対応を実施してください。

1. Node.jsのFunctions、AppSailサービス、Slateアプリケーションを再デプロイする

このセキュリティアップデートより前から稼働している、またはそれ以前にビルドされたアプリケーションは、引き続き以前のバージョンを使用します。アプリケーションを再デプロイして、パッチ適用済みのバージョンを反映してください。

Catalystコンソールを使用する場合:

• Functions: Serverless → Functionsに移動し、ファンクションを開いて右上の⋯アイコンをクリックし、UpdateをクリックしてからSaveをクリックします。詳しくはファンクションの更新をご覧ください。

  

• AppSail: Serverless → AppSailに移動し、サービスを開いてCreate Deploymentをクリックします。現在のStackはそのままにして、Build Fileでアプリのビルドファイル（ZIP）をアップロードし、Createをクリックします。詳しくは新しいデプロイの作成をご覧ください。

  

  

• Slate: Slateに移動してアプリをクリックして展開し、App Settingsをクリックします。Framework and commandを展開してEditをクリックし、ランタイムのドロップダウンからNode 22を選択してUpdateをクリックします。詳しくはアプリのNode.jsランタイムの更新をご覧ください。ランタイムを変更してもアプリは再ビルドされないため、再デプロイしてください。

  

  

  • Gitに接続されたアプリ: Create Deploymentをクリックするか、リポジトリに新しいコミットをプッシュします。Auto Deployがオンの場合は、自動的にデプロイされます。

  • アップロードしたアプリ: アプリのOverview画面でRe-Uploadをクリックし、アプリをアップロードします。

    

CLIを使用する場合: プロジェクトディレクトリからcatalyst deployを実行します。これにより、Functions、AppSail、Slateがまとめてデプロイされます。Slateのみをデプロイするには、catalyst deploy slateを実行します。詳しくはデプロイオプションとSlateへのデプロイをご覧ください。

2. Node.js 22より前のバージョンから移行する

Node.js 20は2026年4月30日にサポート終了を迎えており、Node.jsプロジェクトはこのバージョン向けの修正をリリースしません。CatalystはNode.js 22より前のNode.jsランタイム（Node.js 20、18、16およびそれ以前）にはパッチを適用しません。スケジュールについてはNode.jsランタイムの非推奨化をご覧ください。

Functions、AppSailサービス、またはSlateアプリでこれらのバージョンを使用している場合は、サポート対象のバージョンに更新してください。FunctionsとAppSailではNode.js 22または24、SlateではNode.js 22です。

Catalystコンソールを使用する場合:

• Functions: ⋯ → Updateを使用し、Stackドロップダウンから新しいランタイムバージョンを選択してSaveをクリックします。

  

• AppSail: サービスを開いてCreate Deploymentをクリックし、StackドロップダウンからNode 24またはNode 22を選択して、ビルドファイルをアップロードし、Createをクリックします。

• Slate: 手順1のSlateの手順に従ってNode 22を選択し、アプリを再デプロイします。

CLIを使用する場合: ファンクションのcatalyst-config.json、またはサービスのapp-config.jsonにあるstackの値を変更し（例：node24）、アプリをテストしてからcatalyst deployを実行します。

3. カスタムコンテナを再ビルドする

独自のDockerまたはOCIイメージをAppSailにデプロイしている場合は、パッチ適用済みのNode.jsベースイメージで再ビルドして再デプロイしてください。

4. Catalyst Pipelinesを確認する

パイプラインでデフォルトイメージを使用している場合は、対応は不要です。デフォルトイメージは現在、パッチ適用済みのNode.js 24で動作します（以前はNode.js 18）。

catalyst-pipelines.yamlで独自のイメージを指定している場合（例：image: node:20）は、node:24やnode:22などのパッチ適用済みNode.jsイメージに更新し、パイプラインを再実行してください。

5. お使いのマシンのNode.jsを更新する

Catalyst CLIとローカルビルドは、お使いのコンピューターおよびCIパイプラインにインストールされているNode.jsを使用します。Node.js 22.23.4以降、または24.22.1以降に更新してください。現在のバージョンは次のコマンドで確認できます。

node -v

ご質問やアップグレードに関するサポートが必要な場合は、support@zohocatalyst.comまでお問い合わせください。