Node.js、26.x・24.x・22.xのセキュリティリリースを公開　Brotliデコーダの範囲外書き込み（RCE）などHigh 4件を修正

公式のセキュリティリリース告知によると、今回の最高深刻度はすべてのリリースラインでHigh。High評価の修正は、Brotliデコーダの範囲外書き込み（CVE-2026-111497）、TLSで正規形でないIPアドレスを拒否する修正（CVE-2026-106069、CVE-2026-106072）、DNSのresolve入力に含まれるnullバイトの検証（CVE-2026-105482）、TLSのIP正規化の回帰修正（CVE-2026-105483、26.xと24.x）の4件。ほかにHTTPエージェントのデータガード（Medium）、スナップショット間で乱数キャッシュを再初期化する修正（Medium）、パーミッションモデルのrealpathSyncでの確認漏れ（Low）なども含まれる。あわせてルート証明書をNSS 3.131.1に更新し、c-aresを1.34.9に上げたほか、22.xと24.xではOpenSSL 3.5.9やundiciも更新された。End-of-Lifeのバージョンは常に影響を受けるとしており、18.xや20.xを使い続けている環境はサポート中のラインへの移行が必要になる。同日はPHPの重大な脆弱性修正も重なり、コンテナイメージの再ビルドを含む更新作業が集中した。