概要
2026年10月21日付の Node.js セキュリティ更新を受け、当社サービスの実行環境、ビルド環境、開発・テスト環境を調査しました。対象のソースコードと設定を Node.js 24.22.1 に更新し、ビルドとテストを実施しています。一部の本番配備は確認済みですが、すべての実行経路の更新完了は確認できていません。
今回の対応は、公開された脆弱性への予防的な対応です。確認した資料の範囲で、これらの脆弱性を悪用した攻撃の成功や情報流出を直接示す証拠は見つかっていません。ただし、調査は対象と期間を限定したものであり、不正アクセスや情報流出がなかったと断定するものではありません。
調査した問題
Node.js の公式告知では、DNS・TLS に関する検証や Brotli のメモリ処理などの脆弱性への修正が案内されています。当社では公式に修正版として掲載された24.22.1を更新先としました。
公式情報：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
関連する CA 証明書の問題については、信頼ストアや稼働環境の確認を別途進めています。Node.js の設定更新だけで、その対応が完了したとは判断していません。
実施した対応
Tachyon、Tachyon Field、Library の対象設定を更新し、古い Node.js 実行環境の再利用を防ぐ確認処理、ビルド時のバージョン検証、関連する自動テストを見直しました。対象フロントエンドのビルドと利用可能なテストを実施し、変更を main ブランチへ反映しました。
Tachyon Field の UI と Library のクライアントでは、修正を含む main のビルドが Node.js 24.22.1 を選択した記録と、対応する配備が有効になった記録を確認しています。Tachyon の Console でも、修正を含む main のビルドと配備記録を確認しました。これらは全サービスの実行版や、すべてのアクセス先の更新完了を示すものではありません。Cloudflare Workers／Pages のビルドに使う Node.js と、配信時のランタイムも区別して確認しています。
不正アクセス・情報流出に関する確認
既存の AWS 監査ログについて、2026年10月15日09:00から10月22日14:40までの日本時間を対象に、接続済みの1アカウント・2リージョンで、ログイン、アクセスキー作成、指定した権限変更、監査ログ停止・削除など8種類の管理イベントを照会しました。この条件に該当するイベントはありませんでした。すべての管理操作を確認したものではありません。
また、Tachyon のアプリケーションログの限定サンプルと、3 API の既存エラー監視情報を確認しました。認証・権限により拒否されたログや、汎用的なサーバーエラーはありましたが、今回の脆弱性を悪用した攻撃の成功や情報流出と結び付ける証拠は確認していません。拒否ログがあることだけで攻撃と判断したり、拒否された記録から他の不正操作もなかったと判断したりすることはできません。
全アクセスログ、WAF、データベース監査、ストレージのデータアクセス、すべてのクラウド環境・期間を網羅した調査は未実施です。このため、現時点の結論は「確認した範囲で侵害を直接示す証拠は検出していない」であり、「被害がないことを確認済み」ではありません。
残っている確認
最終確認時点で、Tachyon API は最新の main への更新完了を確認できていません。直前のデプロイはインフラの先行処理に関する確認で停止し、その後の main に対する処理は実行中でした。ビルド実行基盤など、ほかの実行経路の稼働版確認も残っています。
公開 URL の読み取り確認では、Tachyon Field の画面と主要な静的ファイル、Platform の画面と health エンドポイントは正常な応答でした。一方、Console は403、Library client は200の後に403を返したため、安定した正常動作とは判定していません。これらの応答と今回の脆弱性との因果関係は未判定です。
本番の稼働版と配備記録の照合、拒否ログの追加確認、関連する CA 証明書の確認が残っており、対応全体を完了とは扱っていません。本稿は上記の最終確認時点の暫定報告です。