--- title: "セキュリティアップデート：Node.jsの脆弱性（CVE-2026-111497）" url: https://docs.catalyst.zoho.com/ja/announcements/2026/node-security-update/ description: "CatalystはマネージドNode.jsランタイムを更新し、CVE-2026-111497を修正しました。Node.jsのFunctions、AppSailサービス、Slateアプリを再デプロイしてください。" last_updated: 2026-11-05T12:24:29Z service: All Services type: general related_links: - name: "言語ランタイムのサポートポリシー" url: /ja/serverless/help/functions/runtime-support/ - name: "ファンクションの更新" url: /ja/serverless/help/functions/implementation/#update-or-download-a-function - name: "AppSailのデプロイ" url: /ja/serverless/help/appsail/console/deployments/ - name: "Slateのデプロイ" url: /ja/slate/help/monitor-deployment/ - name: "リリースノート" url: /ja/release-notes/all/ --- # セキュリティアップデート（CVE-2026-111497）：Node.jsの脆弱性を修正 **2026年10月21日**、Node.jsプロジェクトは、Node.jsに同梱されているBrotli展開ライブラリの深刻度の高い脆弱性[CVE-2026-111497](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)に対するセキュリティアップデートをリリースしました。 アプリケーションが攻撃者の細工したBrotliデータを展開すると、攻撃者がアプリケーションのメモリを破壊し、その中で任意のコードを実行できる可能性があります。この脆弱性は、Node.js 20以前などのサポート終了（EOL）バージョンを含む、パッチ未適用のNode.jsで動作するすべてのアプリケーションに影響します。Catalyst by Zoho固有の問題ではありません。 ### 実施した修正 CatalystのマネージドNode.jsランタイムを、パッチ適用済みのバージョンに更新しました。
ランタイム パッチ適用済みバージョン
Node.js 24 24.22.1
Node.js 22 22.23.4
この修正は、Catalyst [Functions](https://docs.catalyst.zoho.com/ja/serverless/help/functions/introduction/)、AppSail（[Catalystマネージドランタイム](https://docs.catalyst.zoho.com/ja/serverless/help/appsail/catalyst-managed-runtimes/key-concepts/)）、[Slate](https://docs.catalyst.zoho.com/ja/slate/help/introduction/)のビルド、およびCatalyst [Pipelines](https://docs.catalyst.zoho.com/ja/pipelines/help/pipelines/introduction/)のデフォルトイメージに適用されます。デフォルトイメージは現在**Node.js 24**で動作します。 Catalyst by Zohoは、[言語ランタイムのサポートポリシー](https://docs.catalyst.zoho.com/ja/serverless/help/functions/runtime-support/)に記載のとおり、サポート終了に達していないCatalystマネージドランタイムにのみこれらのセキュリティパッチを適用しています。サポート終了に達したランタイムと[カスタムランタイム](https://docs.catalyst.zoho.com/ja/serverless/help/appsail/custom-runtimes/deploy-from-console/)には、これらのパッチは適用されません。 サポート終了に達したランタイムを使用している場合は、サポート対象のランタイムにアップグレードしてアプリケーションを再デプロイしてください。パッチは自動的に適用されます。カスタムランタイムは独自のコンテナイメージで動作するため、パッチをご自身で適用する必要があります。 ### 必要な対応 #### アプリケーションのランタイムを確認する ファンクションまたはAppSailサービスが使用しているNode.jsのバージョンを確認するには、その中で`process.version`をログに出力します。バージョンがNode.js 22で`v22.23.4`より前、またはNode.js 24で`v24.22.1`より前の場合は、以下の該当する対応を実施してください。 #### 1. Node.jsのFunctions、AppSailサービス、Slateアプリケーションを再デプロイする このセキュリティアップデートより前から稼働している、またはそれ以前にビルドされたアプリケーションは、引き続き以前のバージョンを使用します。アプリケーションを再デプロイして、パッチ適用済みのバージョンを反映してください。 **Catalystコンソールを使用する場合:** * **Functions:** **Serverless** → **Functions**に移動し、ファンクションを開いて右上の**⋯**アイコンをクリックし、**Update**をクリックしてから**Save**をクリックします。詳しくは[ファンクションの更新](https://docs.catalyst.zoho.com/ja/serverless/help/functions/implementation/#update-or-download-a-function)をご覧ください。 ![Functions - ファンクションの更新](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_functions_update.webp) * **AppSail:** **Serverless** → **AppSail**に移動し、サービスを開いて**Create Deployment**をクリックします。現在の**Stack**はそのままにして、**Build File**でアプリのビルドファイル（ZIP）をアップロードし、**Create**をクリックします。詳しくは[新しいデプロイの作成](https://docs.catalyst.zoho.com/ja/serverless/help/appsail/console/deployments/#create-a-new-deployment)をご覧ください。 ![AppSail - Create Deployment](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_appsail_create_deployment.webp) ![AppSail - Create Deploymentのポップアップ](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_appsail_create_deployment_2.webp) * **Slate:** **Slate**に移動してアプリをクリックして展開し、**App Settings**をクリックします。**Framework and command**を展開して**Edit**をクリックし、ランタイムのドロップダウンから**Node 22**を選択して**Update**をクリックします。詳しくは[アプリのNode.jsランタイムの更新](https://docs.catalyst.zoho.com/ja/slate/help/monitor-deployment/#update-the-nodejs-runtime-of-an-app)をご覧ください。ランタイムを変更してもアプリは再ビルドされないため、再デプロイしてください。 ![Slate - App Settings](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_slate_app_settings.webp) ![Slate - Node.jsランタイムの選択](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_slate_runtime.webp) * **Gitに接続されたアプリ:** **Create Deployment**をクリックするか、リポジトリに新しいコミットをプッシュします。Auto Deployがオンの場合は、自動的にデプロイされます。 * **アップロードしたアプリ:** アプリの**Overview**画面で[Re-Upload](https://docs.catalyst.zoho.com/ja/slate/help/direct-upload/#re-upload-application)をクリックし、アプリをアップロードします。 ![Slate - Re-Upload](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_slate_reupload.webp) > **注意:** Slate上の**Next.js**アプリは、リクエストの処理中にNode.jsを実行するため、優先的に対応してください。静的アプリ（React、Vue、Angularなど）がNode.jsを使用するのはビルド時のみです。 **CLIを使用する場合:** プロジェクトディレクトリから`catalyst deploy`を実行します。これにより、Functions、AppSail、Slateがまとめてデプロイされます。Slateのみをデプロイするには、`catalyst deploy slate`を実行します。詳しくは[デプロイオプション](https://docs.catalyst.zoho.com/ja/cli/v1/deploy-resources/deploy-options/)と[Slateへのデプロイ](https://docs.catalyst.zoho.com/ja/cli/v1/deploy-resources/deploy-to-slate/)をご覧ください。 #### 2. Node.js 22より前のバージョンから移行する Node.js 20は2026年4月30日に[サポート終了](https://nodejs.org/en/about/previous-releases)を迎えており、Node.jsプロジェクトはこのバージョン向けの修正をリリースしません。CatalystはNode.js 22より前のNode.jsランタイム（Node.js 20、18、16およびそれ以前）にはパッチを適用しません。スケジュールについては[Node.jsランタイムの非推奨化](https://docs.catalyst.zoho.com/ja/serverless/help/functions/runtime-support/#nodejs-runtime-deprecations)をご覧ください。 Functions、AppSailサービス、またはSlateアプリでこれらのバージョンを使用している場合は、サポート対象のバージョンに更新してください。FunctionsとAppSailではNode.js 22または24、SlateではNode.js 22です。 **Catalystコンソールを使用する場合:** * **Functions:** **⋯** → **Update**を使用し、**Stack**ドロップダウンから新しいランタイムバージョンを選択して**Save**をクリックします。 ![Functions - Node.jsランタイムの選択](https://docs.catalyst.zoho.com/images/announcements/node-security-update/catalyst_node_security_functions_stack.webp) * **AppSail:** サービスを開いて**Create Deployment**をクリックし、**Stack**ドロップダウンから**Node 24**または**Node 22**を選択して、ビルドファイルをアップロードし、**Create**をクリックします。 * **Slate:** 手順1のSlateの手順に従って**Node 22**を選択し、アプリを再デプロイします。 **CLIを使用する場合:** ファンクションの[catalyst-config.json](https://docs.catalyst.zoho.com/ja/serverless/help/functions/stack/)、またはサービスの[app-config.json](https://docs.catalyst.zoho.com/ja/serverless/help/appsail/catalyst-managed-runtimes/deploy-from-cli/)にある`stack`の値を変更し（例：`node24`）、アプリをテストしてから`catalyst deploy`を実行します。 #### 3. カスタムコンテナを再ビルドする 独自のDockerまたはOCIイメージを[AppSail](https://docs.catalyst.zoho.com/ja/serverless/help/appsail/custom-runtimes/deploy-from-console/)にデプロイしている場合は、パッチ適用済みのNode.jsベースイメージで再ビルドして再デプロイしてください。 #### 4. Catalyst Pipelinesを確認する パイプラインでデフォルトイメージを使用している場合は、対応は不要です。デフォルトイメージは現在、パッチ適用済みのNode.js 24で動作します（以前はNode.js 18）。 `catalyst-pipelines.yaml`で独自の[イメージ](https://docs.catalyst.zoho.com/ja/pipelines/help/catalyst-pipelines.yaml/build-the-pipeline/images/)を指定している場合（例：`image: node:20`）は、`node:24`や`node:22`などのパッチ適用済みNode.jsイメージに更新し、パイプラインを再実行してください。 #### 5. お使いのマシンのNode.jsを更新する Catalyst CLIとローカルビルドは、お使いのコンピューターおよびCIパイプラインにインストールされているNode.jsを使用します。Node.js 22.23.4以降、または24.22.1以降に更新してください。現在のバージョンは次のコマンドで確認できます。 ```bash node -v ``` > **注意:** **eMudhra（emSign）証明書**の問題について eMudhra（emSign）が発行した一部の証明書について、ブラウザが信頼を取り消しているという報告をご覧になったかもしれません。Catalyst by Zohoはこの問題の影響を受けておらず、Catalystドメインについての対応は不要です。 これはNode.jsに限らず、すべての言語のアプリに当てはまります。CatalystのNode.js、Java、Pythonランタイムの信頼済み証明書リストを更新しました。**アプリを再デプロイする**と、これらの更新が反映されます。 独自の証明書ストアや依存関係（カスタムAppSailコンテナ、JDK、Pythonの証明書パッケージなど）を同梱している場合は、最新バージョンに更新されていることを確認してください。 ご質問やアップグレードに関するサポートが必要な場合は、**support@zohocatalyst.com**までお問い合わせください。