概要
2026年10月21日にNode.jsの安全上の問題が公表されたため、当社サービスへの影響を調査し、修正版への更新を進めています。一部は公開中のサービスへの反映を確認しましたが、対応全体は継続中です。
確認した範囲では、今回の問題を悪用した不正アクセスや情報流出を直接示す証拠は見つかっていません。ただし、調査範囲は限られており、被害がなかったと断定するものではありません。
Node.jsとは
Node.js（ノード・ジェイエス）は、Webサービスの処理を動かしたり、公開する画面やプログラムを作ったりするために使うソフトウェアです。今回、その通信やデータ処理に、特定の条件で悪用されるおそれのある弱点が見つかりました。このような弱点を「脆弱性」と呼びます。
プログラムを作る環境と、公開後にサービスを動かす環境は異なる場合があります。そのため、修正版への更新に加えて、公開中のサービスへの反映も確認しています。
対応状況
Tachyon・Tachyon Field・Library：対象設定の更新とテストを実施しました。画面を公開するための更新記録は確認済みですが、すべての環境への反映確認は終わっていません。
Courseboard：Web画面とサーバー側の処理の本番反映、正常な応答を確認しました。デスクトップ・モバイル版は作成時の設定を更新しましたが、新しい配布版の公開までは確認していません。
古いNode.jsを使わないよう、バージョンを確認する仕組みも追加・見直しました。
安全性の確認と今後の対応
クラウドの操作記録と、一部のサービスの利用・エラー記録を調べました。アクセス拒否やエラーはありましたが、今回の問題による攻撃の成功や情報流出を示す証拠は確認していません。すべてのアクセスやデータの保存先まで調べたものではありません。
残る環境への更新確認、Moverentの本番反映、アクセス拒否の追加調査、通信相手を信頼できるか確かめる証明書の問題への対応を進めます。これらが残っているため、対応完了とはしていません。
「発生日時」は脆弱性の公表日である2026年10月21日を示し、実際の攻撃発生日ではありません。ステータスは「対応中」とし、「復旧日時」は未記入にしています。
技術情報
更新バージョン：24系の更新先はNode.js 24.22.1、Moverentで使用する22系は22.23.4です。公式告知ではDNS・TLSの検証、Brotliのメモリ処理などの修正が案内されています。
反映状況：Tachyon、Tachyon Field、Libraryは対象変更をmainに反映し、フロントエンドのビルドと利用可能なテストを実施しました。Field UI・Library clientは24.22.1を選択したビルドと有効な配備記録、Consoleは修正を含むmainのビルド・配備記録を確認しています。Tachyon APIの最新mainへの反映と、ビルド実行基盤など一部経路の稼働版確認は未完了です。
環境の区別：Cloudflare Workers／Pagesのビルドに使用するNode.jsと配信時のランタイムは区別して確認しています。CourseboardのWeb画面とAPIは本番反映済みですが、Rust側のCA証明書関連修正は別の変更として反映前です。CA証明書・信頼ストアの確認を、Node.jsの更新だけで完了したとは扱っていません。
AWS監査ログの範囲：2026年10月15日09:00〜10月22日14:40（日本時間）、接続済みの1アカウント・2リージョンを対象に、ログイン、アクセスキー作成、指定した権限変更、監査ログの停止・削除など8種類の管理イベントを照会しました。該当イベントはありませんでしたが、すべての管理操作を確認したものではありません。
その他の調査範囲：Tachyonのアプリケーションログの限定サンプルと、3 APIの既存エラー監視情報を確認しました。全アクセスログ、WAF、データベース監査、ストレージのデータアクセス、すべてのクラウド環境・期間を網羅した調査は未実施です。
公開URLの確認：Fieldの画面と主要な静的ファイル、Platformの画面とhealthエンドポイントは正常に応答しました。Consoleは403、Library clientは200の後に403を返し、安定した正常動作とは判定していません。これらと今回の脆弱性との因果関係は未判定です。Courseboardは本番反映後の画面・主要JavaScript・APIのhealthエンドポイントで200応答を確認しました。