概要
米国時間2026年10月21日、Node.jsプロジェクトはBrotli解凍の脆弱性（CVE-2026-111497、「Node2Shell」）に対する修正プログラムをリリースしました。この脆弱性は、プロセスのクラッシュやリモートコード実行（RCE）を引き起こす可能性のある境界外書き込み（out-of-bounds write）です。
Oktaの対応
- セキュリティパッチの適用: 変更はOktaの運用（本番）環境全体にデプロイ済みです。Auth0の運用環境に対しても順次展開が進行中です。
悪用の形跡なし: 現在までのところ、OktaおよびAuth0において本脆弱性が悪用された形跡は確認されていません。
お客様にて必要な対応
Auth0をご利用のお客様: Auth0のテナント設定、またはActionの構成において、ランタイムバージョンをNode 22に更新し、変更をデプロイすることを推奨します。
Node.jsでAuth0 SDKをご利用のお客様: 最新バージョンをダウンロードしてインストールすることを推奨します。
ad-ldapコネクタをご利用のお客様: 最新バージョンをダウンロードしてインストールすることを推奨します。
参考URL
Aikido Security, Node2Shell: Node.jsのBrotli脆弱性によるリモートコード実行 (CVE-2026-111497)
