【2026年5月版】Node.jsのサポート期限と脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、Node.jsのサポート期限と脆弱性情報をまとめたもので、2026年5月1日に執筆しています。

Node.jsは、OpenJS Foundationのもとで運営され、コミュニティにより開発・保守されている、オープンソースのサーバーサイドJavaScriptランタイム（実行環境）です。
対応するプログラミング言語はJavaScriptで、処理系としてGoogleのV8（JavaScriptエンジン）を採用しています。
Node.jsは、V8に加えて（主にlibuvなどにより）ファイルI/O、ネットワーク、タイマー等のAPIを提供し、JavaScriptをサーバー上で実行できるようにしたランタイムになります。

安全で円滑なWebサイトの運用のためには、ランタイムについても最新バージョンへとアップデートする必要があります。

そこで、この記事ではNode.jsのサポート期限と脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているNode.jsのEOL及び脆弱性情報を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

Node.js には、最新機能を先行して取り込むためのCurrentステータスと、長期利用を前提としたLTS（Long Term Support）ステータスの2つの提供形態があります。
各メジャーバージョンは、公開後およそ6か月間Currentとして提供され、現行のリリースモデルでは その後、奇数メジャーバージョンは2ヵ月間ほどのメンテナンスサポート期間を経てサポート終了、偶数メジャーバージョンはLTS（Active LTS→Maintenance LTS）へ移行します。
そのため、ある時点ではCurrentは通常1系統、LTS版は複数系統が並行してサポートされます。
2026年5月1日現在では、25.xがCurrent、24.xがActive LTS、22.xと20.xがMaintenance LTSです。

※公式サイトのNode.js Releasesページを参照

なお、Node.js 27（2026年10月リリース予定）以降はリリーススケジュールが変更され、奇数・偶数の区別は廃止され、すべてのリリースが LTS になることが公式ブログでアナウンスされています。

Node.jsに関する脆弱性情報のうち、2016年以降に公表されたもので、共通脆弱性評価システムCVSS v4ないしCVSS v3に基づいて、緊急（9.0～10.0）、重要（7.0～8.9）に該当するもののみを掲載します。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3ないしCVSS v4に基づいています。前述の掲載ルール外の脆弱性情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。NVDにてスコアリングがされてない場合は、HackerOneのスコアを記載しています。
※影響を受けるバージョンについては、Node.js公式Blogの情報を正としていますが、CVEサイトの方で過去のバージョンにも影響がある旨記載がある場合には、その点を付記しています。
※Node.js公式Blogの影響を受けるバージョンについては、脆弱性情報公表時にEOLであったバージョンについては省略されているようです。その為、影響を受けるバージョンについて記載がなくても過去のEOLバージョンについては影響を受けるケースが多々あることに注意が必要です（例えば、CVE-2026-21710については、CVE公式サイトでは、Node.js 4.0.0から20.0.0未満も影響範囲であることが示されています）。
※CVE-2024-22017について、Node.js公式Blogでは20.xおよび21.xが影響対象とされていますが、NVD及びHackerOneでは18.18.0以降にも影響がある旨の記載があります。
※CVEで採番されていない脆弱性情報や、CVEで採番されていてもJVNやNVDに掲載されていない脆弱性情報については掲載していません。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、Node.jsは、サーバーサイドでJavaScriptを実行する場合には、お世話になる確率が高いランタイムです。

しかしながら、Node.js自体のバージョンアップをしようと思っても、サーバー関係の知識が必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。