やること 1.38.6 以降へ更新してください。勧告によれば、Windows の Node fs ではシンボリックリンク作成が通常失敗するため既定では悪用しにくく、ブラウザやメモリ上の fs では影響が仮想ファイルシステム内に限られます。
GHSA-9qw7-j9xw-fv9c・CVE-2026-63395読むやること @enspirit/elo を 1.0.1 以降に更新してください。更新までは、信頼できない入力を Elo のコードやデータ（bin/elo の -f elo など）として渡したり、外部から受け取った値で AST を組み立てたりしないでください。
GHSA-7w38-ggh5-v542・CVE-2026-44266・GHSA-33r5-xmm8-v6x5・CVE-2026-44267・GHSA-x9rp-7wh3-2rj5・CVE-2026-44265読むやること @sd-jwt/core を 0.20.0 以降に更新してください。すぐ更新できない場合は、制約を表すクレームが存在しないときに許可するのではなく拒否する判定にし、鍵バインディング（KB-JWT）を必須にすることで経路上での改ざんは防げます。
GHSA-f9j6-8p6x-r9j6・CVE-2026-62374読むやること signalk-server を 2.34.0 以降に、単体で使っている場合は @signalk/resources-provider を 1.5.3 以降に更新してください。
GHSA-4xm8-rg9h-jhq2読むやること node-forge を 1.4.1 に更新してください。すぐ更新できない場合、PKCS#12 については pkcs12FromAsn1() に渡す前に MacData.iterations が 1 未満の入力を拒否する回避策が示されています。
GHSA-5x38-2vff-x55p・CVE-2026-119190・GHSA-jc66-7q78-782g・CVE-2026-118782・GHSA-hqq3-7jhf-c5jx・CVE-2026-119187・GHSA-8hrf-8g6f-7xwp・CVE-2026-119188・GHSA-7wch-p9px-956x・CVE-2026-118779読むやること joi を 17.13.9 または 18.3.1 以降に更新してください。@hapi/joi を使っている場合は joi への移行が必要です。
GHSA-4528-x5fx-h6hg・CVE-2026-118772読むやること follow-redirects を 1.16.2 以降に更新してください。
GHSA-mrwp-f3q8-3g9p・CVE-2026-116689読むやること nx と、使っているプラグイン（@nx/maven / @nx/gradle）の両方を 22.7.9（22.x 系）または 23.1.2（23.x 系）以降に更新します（例: nx migrate 23.1.2）。プラグインだけ上げても nx 本体が古いと直りません。すぐ更新できない場合は、信頼できるリポジトリ以外で nx コマンドを実行しないでください。
GHSA-qm8w-vx34-5j9j・CVE-2026-119282読むやること 5.33.16 以降へ更新します。すぐ更新できない場合は、外部から受け取った値を services() に渡さないでください。
GHSA-3f7j-7jwc-fxfj・CVE-2026-116576読むやること 0.5.1 以降へ更新します。多くのパッケージの間接依存として入っているため、npm ls decode-uri-component で版を確認してください。
GHSA-qr28-fpjm-wq7f・CVE-2026-118664読むやること vue-i18n（および petite-vue-i18n、@intlify/core-base などの関連パッケージ）を 11.4.14 へ更新します。利用者の入力を含む値を HTML メッセージに埋め込まないようにしてください。
GHSA-83rm-6c8r-g728・CVE-2026-118257読むやること 使っている系列に合わせて 11.4.9、12.6.2、13.1.1 のいずれかへ更新します（xlink:href の件は 12.6.2 / 13.1.1 で修正）。CDN から読み込んでいる場合は版付きの URL を更新します。すぐ更新できない場合は、各勧告にある回避用のスクリプトを Highcharts の読み込み後、チャート作成前に実行してください。
GHSA-mw4f-gj5x-6xr4・CVE-2026-116796・GHSA-5793-x2q3-c3q7・CVE-2026-118251・GHSA-35rr-xwfh-x789・CVE-2026-118246・GHSA-rmqc-xvr3-v46c・CVE-2026-118250・GHSA-gfvx-2c2g-38wq・CVE-2026-118249読むやること 1.6.8 へ更新します。すぐ更新できない場合は、信頼できない入力を fromJSON で復元するとき、deserialize が関数や on メソッドを持つオブジェクトを返すプラグインを使わないでください（サービス停止の件には回避策がありません）。
GHSA-7rv5-mrxv-xcr9・CVE-2026-116580・GHSA-97r2-qh9m-474h・CVE-2026-116581・GHSA-wp97-x4hv-qvhp・CVE-2026-116584読むやること better-auth と同時に出たアダプター・プラグインをまとめて 1.7.7 へ更新します。勧告公開時点では 1.7.7 は「リリース予定」と書かれているため、npm に出ているか確認してください。更新までは、Magic Link の storeToken を hashed にして verification.storeIdentifier を未設定か plain にする、または Magic Link かソーシャルサインインを止めることが回避策です。OAuth Proxy を使う場合は、全環境でグローバルの secret と別の専用 secret を設定します。
GHSA-965c-763c-88jm・CVE-2026-114607・GHSA-r4xp-prcw-77qf読むやること 使っている系列に合わせて 6.29.1 / 7.30.1 / 8.12.2 へ更新します。すぐ更新できない場合は、TLS 1.3 のみに制限する（connect で minVersion と maxVersion を TLSv1.3 に）、TLS の検証関数は tls ではなく connect で渡す、WebSocket は allowH2: false にする、が回避策です。
GHSA-qrxm-fqhp-jwvm・CVE-2026-87018・GHSA-2m5v-pch6-74hx・CVE-2026-109383・GHSA-4w7w-5xrc-9h26・CVE-2026-109829・GHSA-qq8j-7v2v-3rwp・CVE-2026-109855読むやること 6 系は 6.29.1、7 系は 7.30.1、8 系は 8.12.2 へ更新します。勧告では回避策は無いとされています。
GHSA-xjj6-f33q-929c・CVE-2026-109869読むやること 2.5.0 以降へ更新します。すぐ更新できない場合は、fileFilter を同期処理に書き換えてください。同期の fileFilter は影響を受けません。
GHSA-q7qp-rjg7-q26m・CVE-2026-113872読むやること 21.0.4 以降へ更新します。影響を受けるのは enableJavaScriptEvaluation を有効にし、外部から渡された HTML やモジュールを処理している場合です。SSR、プレビュー、スクレイピング、テスト基盤などで信頼できない HTML を評価している場合は、更新するまで JavaScript 評価を無効にしてください。
GHSA-834v-8h66-3h79・CVE-2026-115895読むやること 7.1.0 以降へ更新します。すぐ更新できない場合は、acquireTokenByCode には auth_code だけを渡すようにしてください。
GHSA-xcx6-jx8p-x3h5・CVE-2026-109461読むやること 1.3.1 以上へ更新します。すぐ更新できない場合は、1プロセスで1つの vault だけを扱うかテナントごとにプロセスと認証情報を分け、HTTP トランスポートを auth.mode: none で公開せず JWT 認証を必須にしてください。
GHSA-84c9-qqpq-2pq5・CVE-2026-77366・GHSA-pqh8-4pj7-32xx・CVE-2026-77363読むやること 1.20.9 または 2.4.0 へ更新します。Express 経由で使っている場合も依存ツリー上の版を確認してください。圧縮されたリクエストを受ける必要がなければ、inflate: false を指定することで回避できます。
GHSA-27r3-jxmh-p828・CVE-2026-111181読むやること 使っている系列に合わせて 42.11.16 / 43.8.1 / 44.9.1 / 45.0.0-beta.6 へ更新し、アプリを配布し直します。アプリ側の回避策はありません。ネットワーク通信をしないアプリは影響を受けません。
GHSA-jr5w-w6x2-84p9・CVE-2026-115570読むやること Next.js 16 系は 16.4.1 へ更新します。Cache Component を使っていなくても例外にせず、本番で動いている全サイトのバージョンを確認してください。
GHSA-673q-mjm6-r5xr読むやること Next.js を 15.5.28 または 16.4.1 へ更新します。すぐ更新できない場合は、sharp を 0.35.5 以上に上げることで回避できます。新規インストールでは直った sharp が自動で入ります。
GHSA-2464-fhr4-w9xw・CVE-2026-96889読むやること dompurify を 3.4.17 へ更新します。サニタイズ結果を Angular や Vue などのテンプレートエンジンに渡している場合は、更新までの間 IN_PLACE と RETURN_DOM の併用を避けてください。
GHSA-cg2g-xh64-v4q7読むやること storybook と関連パッケージを 8.6.19 / 9.1.21 / 10.6.2 へ更新します。更新まで、開発サーバーを起動したまま信頼できないサイトを開かないでください。
GHSA-f2ph-cmg5-wxc8・CVE-2026-114125読む登録後に確認メールが届きます。メール内のリンクを押すと配信が始まります。配信はいつでも各メールの末尾から停止できます。無料です。