Node.jsは、2026年10月21日に複数の脆弱性に関するセキュリティアドバイザリを公開しました。
これらの脆弱性は、対象となるNode.jsのバージョンを使用している環境に影響する可能性があります。
本ナレッジでは、Site24x7のロケーションエージェントにおける影響有無と、当社の対応について説明します。
2026年10月21日に公表されたNode.jsのセキュリティアドバイザリに含まれる、以下の7件の脆弱性が対象です。
以下のバージョンのNode.jsが影響を受けます。
Node.js 26.x
26.12.1より前のバージョン
Node.js 24.x
24.22.1より前のバージョン
Node.js 22.x
22.23.4より前のバージョン
Site24x7のロケーションエージェントは、Dockerランタイムパッケージ内でNode.js 24.18.0を使用しています。このバージョンは、上記7件の脆弱性の影響を受けるバージョン範囲に該当します。
ただし、本社開発元での調査の結果、以下の理由から、Site24x7エージェントにおいてこれらの脆弱性は悪用できないと評価しています。
脆弱なコードパスは実行されない
エージェントは、信頼できないBrotli形式などの圧縮データを展開しない仕様となっております。
また、外部から提供された入力を用いて、影響を受けうる機能を利用することはございません。
攻撃者が入力を送信できる構成ではない
攻撃者が悪意のあるデータを送り込む場合、通信を傍受するなどの条件が必要ですが、Site24x7のエージェントでは、そのようなデータを悪用可能な形で処理しないことを確認しています。
上記の通り、お使いのSite24x7エージェントでは対象の脆弱性が悪用可能な状態にはないと評価しています。
予防措置として、Site24x7ロケーションエージェントをNode.js 24.22.1以降にアップグレード予定です。
このアップグレードにより、対象となる7件の脆弱性に対する修正が適用される見込みです。