【2026年8月版】Lodashのバージョンと脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、Lodashのバージョンと脆弱性への対応状況についてまとめたもので、2026年8月7日に改訂しています。

Lodashは、JavaScript開発者向けのJavaScriptライブラリであり、現在ではコミュニティによって開発・サポートがされています。

Lodashのアクティブインストール数などの情報は見つかっていませんが、公式GitHubリポジトリでは6万1千以上のstarを獲得しており、非常に人気の高いライブラリであるという印象です。

一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。

この記事では、企業のWeb担当の皆様に向けて、Lodashの概要並びに脆弱性情報及びその対応状況をご紹介いたします。
Lodashを安全に運用していただく一助になれば幸いです。

前述の通り、Lodashは、開発者向けのJavaScriptライブラリであり、配列、オブジェクト、文字列、関数などのデータ操作に特化した多数のメソッドを提供しています。
また、直感的なAPI設計によりコードの可読性や保守性が改善され、特に大規模データの処理やパフォーマンスが求められる現場で高い評価を受けていることから、人気があります。

一方で、人気があるライブラリは、攻撃のターゲットにされる可能性があるため、当社では、脆弱性に対する対応が遅い、もしくは対応しないライブラリは、クライアントにお勧めしていません。

Lodashについては、定期的にバージョンアップされており、かつ2026年8月7日現在においては、重大な脆弱性が未修正のまま放置されている状況ではないことから、最新バージョンを使用している限りにおいては、セキュリティ面でのリスクは少ないと判断しています。
ただし、2026年に入ってからも、いくつか脆弱性が発見されていることから、Lodashをご利用になられている場合には、ご利用のバージョンに脆弱性がないか確認されることを推奨いたします。

2026年8月7日現在、Lodashの最新バージョンは4.18.1です。

Lodash公式のSecurity Policyでは、4系統がセキュリティ更新の対象とされ、1系統、2系統、3系統は対象外とされています。
4系統については公式サポート中となりますが、公式のサポート（新機能の追加、不具合の改修、セキュリティパッチの提供）対象は最新パッチバージョンのみであり、最新パッチバージョンへのアップデートを推奨いたします。

なお、バージョン情報は次の表の通りですが、Lodashでは旧パッチバージョンごとの公式EOLは公表されていません。
本表では、後継パッチバージョンの公開日を旧パッチバージョンの実質的なサポート終了日として扱っています。

※上記の内容は、公式GitHubのChangelogを正として、バージョン4.17.20までの各パッチバージョンを掲載していますが、それ以前下のパッチバージョンについては、下記脆弱性が修正されたバージョンのみを記載しています。
※バージョン4.17.23以下については、既知の脆弱性が報告されているため、グレーにしています。

Lodash4系統に関する脆弱性情報で、当社が把握しているものは次の通りです。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいていますが、CVSS v3が採用される以前の脆弱性情報についてはCVSS v2に基づいています。
※本記事では、CVSS v3ないしCVSS v2にて緊急（9.0～10.0）、重要（7.0～8.9）、警告（4.0～6.9）に区分されるもののみを掲載しています。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずJVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、Lodashは人気のあるライブラリであり、Web制作の現場では、利用する機会の多いライブラリの一つです。

しかしながら、Lodash自体のバージョンアップをしようと思っても、JavaScriptの知識が必要であったり、作業が複雑であるなどの問題に直面することもあるかと思います。