お知らせ
2026.10.22GROWISECURITY
Node.js のセキュリティリリースに伴う GROWI の対応について
概要
- 2026年10月21日に、Node.js のセキュリティリリースが公開されました。Node.js 側で 10 件の脆弱性が修正されており、最も高い深刻度は High です。
- GROWI 本体は臨時のリリースは行わず、通常リリースである v8.0.8 で、公式 Docker イメージを Node.js 24.22.1 でビルドし直して対応しました。v8.0.8 は 2026年10月22日にリリース済みです。
該当製品の確認方法
次のいずれかに当てはまる場合、Node.js の修正を取り込むための対応が必要です。
-
GROWI の公式 Docker イメージ（growilabs/growi）を利用している
- v8.0.7 の公式 Docker イメージは Node.js 24.21.0 でビルドされており、今回の修正は含まれていません。v8.0.8 の公式 Docker イメージには、今回の修正が含まれています。
-
公式 Docker イメージを使わず、ご自身で Node.js をインストールして GROWI を動かしている
- ご利用の Node.js のバージョンをご確認ください。
-
GROWI.cloud を利用している
- v8.0.8 へのアップデートが必要です。
Node.js で修正された脆弱性
Node.js では、次の High の脆弱性を含む 10 件が修正されています。
- Brotli デコーダーの境界外書き込みによるリモートコード実行（CVE-2026-111497）
- TLS 証明書のホスト名検証の迂回（CVE-2026-105483、CVE-2026-106069）
- dns.resolve が NUL 文字を含む名前を切り詰める問題（CVE-2026-105482）
そのほかの Medium 3 件と Low 3 件を含む全体の一覧は、Node.js 公式のお知らせをご確認ください。
対応状況
- GROWI v8.0.8 を 2026年10月22日にリリースしました。v8.0.8 の公式 Docker イメージは Node.js 24.22.1 でビルドされています。
- GROWI.cloud では、v8.0.8 のリリース（2026年10月22日）から、通常のリリースフローに沿って 1 週間以内に安定版（stable）へ反映する予定です。
対策方法
- 公式 Docker イメージをご利用の場合は、v8.0.8 のイメージを取得して再デプロイしてください。
- ご自身で Node.js をインストールされている場合は、ご利用の系列の修正版（v22.23.4 / v24.22.1 / v26.12.1 以降）へ Node.js を更新してください。
- GROWI.cloud をご利用の場合は、v8.0.8 へアップデートしてください。
詳細
Node.js が公開している以下のセキュリティリリースのお知らせ