2026-10-27
Brotli脆弱性 CVE-2026-111497（Node2Shell）｜Node.js・Python・.NETの確かめ方と更新
Googleは2026年10月21日（米国時間）、圧縮形式Brotliの公式ライブラリに境界外書き込みの脆弱性CVE-2026-111497があるとして、修正版1.2.1・1.1.1・1.0.10を公開した。対象はBrotli 1.0.3〜1.0.9、1.1.0、1.2.0で、細工したBrotliの圧縮データを展開させると、メモリが壊れて異常終了や情報の漏えい、場合によっては任意のコード実行につながるおそれがある。CVSS v4.0はGoogleの評価で9.2。同じ日にNode.jsが修正版22.23.4・24.22.1・26.12.1を出した。PyPIのbrotliは1.2.1、brotlicffiは1.2.1.0で直った（10月22日）。Microsoftは10月25日（米国時間）に.NET 8・9・10の修正版（8.0.33・9.0.22・10.0.14）を公表し、Bun（1.4.4）とEnvoyも修正版を出した。JPCERT/CCは10月26日に注意喚起を出し、Node2ShellやHTTP2Shellという呼び名にも触れている。Brotliは多くのソフトに組み込まれていて、それぞれが自分の中に写しを持つため、OSのライブラリを更新しても、公式版のNode.jsやPyPIから入れたPythonのパッケージ、コンテナイメージ、単一実行ファイルの中の写しは直らない。米CISAの悪用が確認された脆弱性の一覧（KEV）には、10月27日朝の時点で入っていない。悪用の報告は一次情報には見当たらない。当サイトの結論：Node.js・Bun・Python・.NETで外部から受け取ったデータを展開するサービスは、今日バージョンを確かめ、修正版に上げてから、コンテナと実行ファイルを作り直す。