Node.jsのバージョンがサポート終了になっても、CVEの報告は止まりません。

要件 6.3.3 では、既知の重大または高深刻度の脆弱性については、30 日以内にパッチを適用することが求められています。パッチが提供されていない EOL 版のNode.js を使用している場合、直ちに非準拠となります。NES はパッチ適用経路を復元します。

サポート対象外のランタイムでは、ePHIを扱うシステムに対して適切な安全対策を講じることが困難になります。NESは、積極的なメンテナンスとリスク低減を提供します。

トラスト・サービス基準では、脆弱性の適時な修正とパッチ管理が求められています。サポートが終了したランタイムは、認証に合格できません。

第21条は、パッチ適用、脆弱性、およびサプライチェーン管理について規定している。EOLソフトウェアは、リスクをもたらす場合、事実上、本規定に準拠していないものとみなされる。

EOL（サポート終了）ソフトウェアを、金融ICT資産の耐障害性上の欠陥とみなす。NESは、文書化されたパッチ管理プログラムを運用している。

ソフトウェアのライフサイクルにおけるセキュリティを管理します。NESは、サポート期間中、実行環境を効果的に管理します。

NIST CSF コントロール PR.PS-02 では、組織に対し、リスクに基づいて脆弱性のあるソフトウェアを積極的に維持または削除することが求められています。NES を利用すれば、強制的なアップグレードや削除を行うことなく、この要件への準拠が可能になります。

継続的な監視では、定義された周期での脆弱性の修正が求められます。パッチが適用され、ベンダーのサポートを受けるランタイム環境を維持することで、EOL（サポート終了）Node.jsNode管理範囲内に収めることができます。

多くの組織では、契約上、サポート対象外のソフトウェアを出荷することが禁じられています。NESは、各組織のポリシーで求められる、ベンダーが保証するソリューションを提供します。

脆弱性管理および構成管理の統制措置では、技術的な脆弱性を特定し、ソフトウェアをセキュリティ基準の範囲内に維持することが求められます。NESは、EOL（サポート終了）ソフトウェア向けのパッチ提供を通じて、統制態勢を回復させます。

米国防総省（DoD）の請負業者およびサプライヤーで、管理対象非機密情報（CUI）を取り扱う場合は、本要件の遵守が義務付けられています。これには、脆弱性を含むシステムの欠陥の特定、報告、および是正が求められます。NESは、EOLソフトウェアについて、これらの対応を提供しています。

コントロール7（継続的な脆弱性管理）およびコントロール2（ソフトウェア資産インベントリ）では、セキュリティ更新プログラムの提供が終了したソフトウェアを、本質的に脆弱であるとみなしています。NESは、EOL（サポート終了）となったランタイムに対し、パッチを適用し、監査可能な状態を維持します。