JPCERT/CCは2026年10月26日、データ圧縮ライブラリBrotliのC言語実装にある脆弱性について注意を呼びかけた。Googleは同月21日に、この脆弱性を修正するアップデートを公開している。
脆弱性の識別番号はCVE-2026-111497。影響を受けるアプリケーションなどが、攻撃者に細工されたBrotli形式の圧縮データを展開すると、メモリが破損する可能性がある。その結果、アプリケーションの異常終了やメモリ上の情報の漏えい、任意のコード実行につながるおそれがある。
影響を受けるBrotliのバージョンは、v1.2.0からv1.2.1より前、v1.1.0からv1.1.1より前、v1.0.3からv1.0.10より前。Brotliを組み込んだ製品は多岐にわたり、影響を受ける製品にはNode.js、Bun、Python向けBrotliパッケージなどが含まれる。
この脆弱性は、当初Node.jsが公表した脆弱性に関連して「Node2Shell」と呼ばれた。原因がBrotliのC言語実装にあり、複数の製品に影響することから、「HTTP2Shell」とも呼ばれている。
JPCERT/CCは、影響を受ける製品の利用者に対し、開発者の情報を参照して速やかに対策を適用し、侵害の有無を調査するよう求めている。Googleは修正済みバージョンを公開しており、十分にテストした上での適用を推奨している。Googleによる緩和策の提供はなく、組み込み製品の対応状況や緩和策は各開発者の最新情報を確認する必要がある。
MARBLEの対応例：この件の場合
まず、サーバーや業務システムでBrotliの影響を受ける製品を使っているかを確認します。
- Node.jsやPython向けパッケージなどでBrotliを使っているか確かめる
- Brotliのバージョンと、組み込み製品の開発者による対応状況を確かめる
- 影響を受けるライブラリや製品を更新し、必要なプログラムの改修と動作確認をする
- 異常終了や侵害の疑いがある場合は、調査先に相談する
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
JPCERT/CC「注意喚起: BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (公開)」（2026年10月26日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
