Fastify v5.12.2 緊急パッチ — v6移行前に講じるべきセキュリティ対策

Fastifyの卓越したパフォーマンスと信頼性を支えてきたスキーマベースのバリデーションおよびシリアライズ構造において、本番環境のセキュリティを脅かす深刻な欠陥が最近発見されました。これに対応するため、OpenJS Foundationは緊急パッチとなるv5.12.2をリリースし、直ちにアップデートするよう勧告しています。本稿では、今回の緊急パッチで解決された重要な脆弱性を解説するとともに、既存のシリアライズエンジンが廃止されるv6への安全なアーキテクチャ移行に向けて、バックエンド開発者が今すぐ準備すべき実戦ガイドを紹介します。

1. 2026年9月の緊急パッチ: Fastify v5.12.2 セキュリティ脆弱性の原因分析

2026年9月4日、Fastifyセキュリティチームは深刻なセキュリティ上の欠陥を修正するため、緊急パッチをリリースしました。本番環境の安全性を確保するため、Fastifyをv5.12.2以上に必ずアップグレードしてください。今回のパッチでは、ルーティングとバリデーション構造の脆弱性を突き、システムを無力化し得る4つの主要な脆弱性が修正されました。

最も致命的な脆弱性の一つであるCVE-2026-84504は、リクエストボディがルートレベルの「value」というプロパティに置き換えられた際に非同期検証結果の衝突が発生し、バリデーションがスキップされるエラーです。また、CVE-2026-76169は、正常ではないURLを通じてプレフィックスで保護されたカプセル化経路を回避する脆弱性です。この欠陥が悪用されると、定義されたpreHandlerフックを経由せず、内部の非公開ハンドラーへ直接アクセスすることが可能になります。

残りの2つの脆弱性も、スキーマ検証体制を回避するために悪用される恐れがあります。CVE-2026-84469は、すべての入力をブロックするために設定したブーリアン「false」スキーマを無視してバリデーションをスキップしてしまう問題です。最後のCVE-2026-84428は、スキーマの「dependencies」キーワード内部において、標準ヘッダー名の大文字と小文字の正規化が正しく行われないことで発生する欠陥です。

2. v6へのパラダイムシフト: fast-json-stringifyの廃止とV8シリアライズ

Fastify v6では、長年高性能シリアライズを担ってきたfast-json-stringifyエンジンが完全に削除され、V8エンジンのネイティブシリアライズ方式が全面的に導入されます。Node.js 25以降のバージョンに含まれるV8エンジンのネイティブなJSON.stringifyの性能が飛躍的に向上したため、複雑な外部コンパイラを経由せずとも圧倒的な処理速度を確保できるようになったからです。

しかし、この構造的転換は「データ漏洩」という新たなセキュリティの脅威を伴います。従来のエンジンは、出力スキーマに定義されていないプロパティを自動的にフィルタリングするファイアウォールのような役割を果たしてきましたが、ネイティブV8シリアライズはメモリ上のオブジェクトをそのまま文字列へ変換します。その結果、データベースなどで取得したパスワードハッシュや内部システムの識別子のような機密フィールドがフィルタリングされず、クライアントにそのまま露呈するリスクがあります。

したがって、安全なv6への移行のためには、データ検証エンジンであるAjvのremoveAdditionalオプションを明示的に有効化する設計が必須となります。データがレスポンスとしてシリアライズされる前段階で、スキーマに存在しない追加プロパティを完全に削除させることで、初めて完全なデータ分離とセキュリティを達成できます。

3. TypeBoxを活用した安全なランタイム検証の構成

TypeBoxとType Providerを組み合わせれば、静的な型定義とランタイムスキーマ検証を単一のコードに統一でき、開発生産性を大幅に向上させることが可能です。特にFastify v6の新しいシリアライズ動作に伴うデータ漏洩リスクを完全に防ぐためには、スキーマに定義されていないプロパティを入力段階でフィルタリングする緻密な設定が必要です。

これを実現する最も確実な方法は、Fastifyインスタンスの初期化時に ajv.customOptions フィールドを設定して removeAdditional: 'all' オプションを注入することです。このオプションにより、検証を通過したデータから仕様にない任意のプロパティがランタイム時に自動的に削除されます。

typescript

import Fastify from 'fastify'
import { TypeBoxTypeProvider } from '@fastify/type-provider-typebox'
import { Type } from '@sinclair/typebox'

const server = Fastify({
  ajv: {
    customOptions: {
      removeAdditional: 'all' // 스키마에 선언되지 않은 속성을 런타임에 필터링
    }
  }
}).withTypeProvider<TypeBoxTypeProvider>()

server.post('/api/user', {
  schema: {
    body: Type.Object({
      username: Type.String(),
      email: Type.String()
    })
  }
}, async (request) => {
  // request.body는 { username: string; email: string } 타입으로 자동 추론됩니다.
  return { success: true, user: request.body }
})

このように構成すれば、不要なバリデーションのボイラープレートコードを削減しつつ、静的な型安全性を安定して確保できます。入力段階で追加属性が明示的に拒否またはフィルタリングされるため、将来のv6移行後にV8ネイティブシリアライズエンジンへ切り替わったとしても、予期せぬ内部データの流出やデータベース汚染事故を事前に阻止する強力な防御壁として機能します。

終わりに: 即時のパッチ適用とアーキテクチャの準備

Fastify v5.12.2の緊急パッチ適用は、本番システムのセキュリティを維持するために先送りできない喫緊の課題です。今回修正されたルーティングおよびスキーマ検証関連の脆弱性は、ビジネスロジックに侵入されるリスクが高いため、直ちにバージョンアップを行う必要があります。

同時に、来るv6への移行に向けた技術的な備えも並行して行うべきです。V8エンジンの高性能シリアライズを安全に活用するためには、既存のAPIスキーマにおける追加プロパティ削除オプションの設定を綿密に検討・標準化しなければなりません。今の徹底したセキュリティパッチ適用とスキーマ設計の点検は、新しいバージョンがリリースされた際に、無停止での移行を可能にする最も確実な近道です。

参考リンク