JPCERT/CCは2026年10月26日、データ圧縮ライブラリ「Brotli」のC言語実装にある脆弱性について注意喚起を発表した。脆弱性の識別番号はCVE-2026-111497で、境界外書き込みの問題である。Googleは10月21日に、この脆弱性を修正したアップデートを公開している。
影響を受けるアプリケーションが、攻撃者の細工したBrotli形式の圧縮データを展開すると、メモリが破損するおそれがある。その結果、アプリケーションの異常終了やメモリ上の情報の漏えい、任意のコード実行につながる可能性がある。JPCERT/CCは、修正版を速やかに適用するとともに、侵害の有無を調べるよう呼びかけている。
「Node2Shell」から「HTTP2Shell」へ呼び名が広がる
この脆弱性は当初、Node.jsが10月21日に公表した脆弱性に関連して「Node2Shell」と呼ばれていた。しかし原因は、Node.jsではなくBrotliのC言語実装にある。BrotliはHTTP通信で使われる圧縮ライブラリで、複数の製品が影響を受けることから「HTTP2Shell」とも呼ばれている。
JPCERT/CCによると、Brotliを組み込んだ製品やバージョンは多岐にわたる。影響を受ける製品の例として、Node.jsやBun、Python向けのBrotliパッケージを挙げている。Brotli形式の圧縮データを展開する処理を使っている場合は、各開発元の最新情報で影響の有無を確かめる必要がある。
対象はBrotliの3つの系統
対象となるBrotliのバージョンは、3つの系統にまたがる。v1.2.0からv1.2.1より前、v1.1.0からv1.1.1より前、v1.0.3からv1.0.10より前である。Googleは修正版として、v1.2.1、v1.1.1、v1.0.10を公開した。
GitHubの脆弱性データベース「GitHub Advisory Database」も、10月22日にこの問題を掲載した。深刻度は「Critical」で、CVSS v4.0の基本値は9.2とされている。認証のない遠隔の攻撃者が、細工した圧縮データでメモリを壊したり、中身を盗み見たりできるおそれがあるという。
Python向けパッケージも修正版への更新が必要
GitHub Advisory Databaseでは、Pythonのパッケージ管理（pip）で配布されるパッケージも対象としている。「brotli」は1.0.3以上1.2.1未満が影響を受け、修正版は1.2.1である。「brotlicffi」は1.0.3以上1.2.1.0未満が対象で、修正版は1.2.1.0だ。
これらはアプリケーションが直接使っていなくても、別のライブラリの依存関係として入っていることがある。HTTPクライアントやWebフレームワークを経由して、間接的に組み込まれている場合もありうる。開発環境だけでなく、本番環境にあるパッケージの版数も確かめておきたい。
Googleは緩和策を示していない
JPCERT/CCは、十分なテストをしたうえで、修正版を速やかに適用するよう求めている。Brotliを組み込んだ製品の更新状況は、各製品の開発者が出す情報で確認するよう呼びかけている。
一方で、Googleはこの脆弱性への緩和策を示していない。そのため、修正版を適用するまでの間、設定変更などで影響を抑える方法は公式には用意されていない。Brotliを組み込んだ製品ごとの緩和策も、各開発者の情報を確認する必要がある。
企業への示唆
まず、自社のシステムでBrotliがどこに組み込まれているかを洗い出したい。Node.jsやBunで動くWebサービス、Pythonで書かれた社内ツールやデータ処理の仕組みが確認の対象になる。圧縮データを外部から受け取って展開する処理は、優先して確かめる必要がある。
JPCERT/CCは、修正版の適用に加えて侵害有無の調査も求めている。修正版を当てて終わりにせず、不審なプロセスの異常終了や通信の記録がないかも点検したい。自社で調べきれない場合は、外部の診断サービスを使って影響範囲を確かめる方法もある。
ITトレンドでセキュリティ診断サービスについてチェック！[【ランキング】セキュリティ診断サービスおすすめ22選を比較！料金相場や選び方も解説]
Brotliの脆弱性はこちらもチェック！[Googleの圧縮形式「Brotli」のデコーダーに深刻度「Critical」の脆弱性——Node.jsは3系統で修正版、OpenAIのCodex Securityが報告]
まとめ
JPCERT/CCは、BrotliのC言語実装にある境界外書き込みの脆弱性CVE-2026-111497について注意喚起を出した。原因がHTTP通信で広く使われる圧縮ライブラリにあるため、「HTTP2Shell」とも呼ばれる。Node.jsやBun、Python向けパッケージなどが影響を受ける。
Googleは修正版を公開したが、緩和策は示していない。企業はBrotliの組み込み箇所を洗い出し、修正版を適用したうえで、侵害の痕跡がないかもあわせて調べておきたい。
