JPCERT/CC、Brotliの境界外書き込み脆弱性で注意喚起 Node.jsなど影響
脆弱性BrotliNode.jsJPCERTアップデート対応
JPCERT/CCは2026年10月26日、BrotliのC言語実装の境界外書き込み脆弱性（CVE-2026-111497）について注意喚起を公開した。細工された圧縮データの展開で任意コード実行に至る可能性があり、Node.jsやBun、Python向けBrotliパッケージなど組み込み製品が広く影響を受ける。修正版への更新が必要。
何が発表されたか
JPCERT/CCは2026年10月26日、BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起（JPCERT-AT-2026-0034）を公開した。Googleは2026年10月21日に修正版を公開している。
この脆弱性はNode.jsの公表時に「Node2Shell」と呼ばれ、HTTP通信で広く使われることから「HTTP2Shell」とも呼ばれている。
影響を受けるバージョン
- Brotli v1.2.0 から v1.2.1 より前
- Brotli v1.1.0 から v1.1.1 より前
- Brotli v1.0.3 から v1.0.10 より前
影響
攻撃者が細工したBrotli形式の圧縮データを展開させることで、アプリケーションの異常終了、メモリ上の情報の漏えい、任意のコード実行につながる可能性がある。
影響を受ける製品の例
Node.js、Bun、Python向けBrotliパッケージなど。Brotliを組み込んだ製品は多岐にわたるとされている。
取るべき対応
影響を受けるのは、BrotliのC言語実装を直接または間接的に利用しているシステム全般。Webサイトやアプリのサーバーサイドでgzip/brotli圧縮を扱っている環境、Node.jsやBunで動くアプリケーション、Pythonのbrotliパッケージを使うツールが対象になる。
JPCERT/CCが挙げている対応は次のとおり。
- 修正済みバージョン（v1.2.1、v1.1.1、v1.0.10）を、十分なテストのうえで速やかに適用する
- Brotliを組み込んだ製品については、各開発元が提供する最新情報で影響の有無と対応状況を確認する
- 侵害の有無を調査する
- Googleは緩和策を提供していないため、緩和策については各開発元の情報を確認する
Node.jsやBunを使った受託案件・自社サービスを抱えている場合、まずランタイムのバージョンと依存関係にBrotliが含まれていないかの棚卸しから始めるのが実務的。緩和策が提供されていないため、更新以外の回避手段は基本的にない点に注意したい。