サイバーセキュリティ

注意喚起: BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (公開)

JPCERT/CCは2026年10月21日、Brotli（C言語実装）の境界外書き込みの脆弱性（CVE-2026-111497）に関するアップデートを公開しました。攻撃者が細工したBrotli形式の圧縮データを展開すると、アプリケーションの異常終了、メモリ上の情報漏えい、任意のコード実行につながる可能性があるとしています。対象はBrotli v1.0.3からv1.0.10より前などで、Googleは修正済みバージョンを公開していますが、緩和策は提供していません。

最終確認日: 2026-10-26

この発表の要点

Brotli（C言語実装）の境界外書き込みの脆弱性（CVE-2026-111497）に関するアップデートが2026年10月21日に公開された
対象はBrotli v1.2.0からv1.2.1より前、v1.1.0からv1.1.1より前、v1.0.3からv1.0.10より前のバージョン
Googleは修正済みバージョンを公開しているが、緩和策は提供していない

企業・自治体への影響

Brotliを組み込んだアプリケーションや製品を利用する企業・自治体の情報システム部門に影響します。Node.js、Bun、Python向けBrotliパッケージなどが影響を受ける製品として挙げられています。個別製品の対応状況は取得した本文からは確認できず、詳細は公式出典をご確認ください。

対応すべきこと

公式出典（JPCERT/CC、GitHub、各開発元）で、自社利用製品が対象バージョンに該当するか確認する
Node.js、Bun、Python向けBrotliパッケージなど利用ライブラリの修正版（v1.2.1、v1.1.1、v1.0.10以降）の適用計画を立て、十分なテストの上で適用する
修正適用と併せて、侵害有無の調査を実施する
情報システム部門と経営層へ本件を共有し、対応状況を管理する

対象部門： 情シス経営者広報

対応期限：速やかに確認

基本データ

企業・団体	一般社団法人JPCERTコーディネーションセンター
業界	IT・ソフトウェア
発表日	2026-10-21
分類	サイバーセキュリティ

発表された内容

2026年10月21日にBrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関するアップデートを公開しました。本脆弱性の影響を受けるアプリケーションなどが、攻撃者が細工したBrotli形式の圧縮データを展開すると、メモリの破損によりアプリケーションの異常終了、メモリ上の情報の漏えい、任意のコード実行などにつながる可能性があります。

GitHub google / brotli
Release v1.2.1
https://github.com/google/brotli/releases/tag/v1.2.1

GitHub google / brotli
Release v1.1.1
https://github.com/google/brotli/releases/tag/v1.1.1

GitHub google / brotli
Release v1.0.10
https://github.com/google/brotli/releases/tag/v1.0.10

本脆弱性はNode.jsが2026年10月21日に公表した脆弱性に関連して「Node2Shell」と呼称されていました。しかし、本脆弱性の原因はBrotliのC言語実装にあり、BrotliはHTTP通信で利用されるデータ圧縮ライブラリであったことから複数の製品で影響を受けるため「HTTP2Shell」とも呼称されています。

The Node.js Project
Wednesday, October 21, 2026 Security Releases
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。

II. 対象対象となるBrotliのバージョンは以下のとおりです。

– Brotli v1.2.0からv1.2.1より前のバージョン
– Brotli v1.1.0からv1.1.1より前のバージョン
– Brotli v1.0.3からv1.0.10より前のバージョン

Brotliを組み込んだ製品およびバージョンは多岐にわたり、本脆弱性の影響を受ける製品には、Node.js、Bun、Python向けBrotliパッケージなどが含まれます。アプリケーションなどでBrotli形式の圧縮データを展開する処理を利用している場合は、各開発元が提供する最新の情報を確認し、影響の有無および本脆弱性への対応状況を確認してください。

III. 対策Googleは、修正済みバージョンを公開しています。十分なテストを実施の上、速やかに修正済みバージョンを適用してください。Brotliを組み込んだ製品に関するアップデートや対応状況は、各開発者が提供する最新の情報を確認してください。

IV. 緩和策Googleは、本脆弱性に対して緩和策を提供していません。Brotliを組み込んだ製品に関する緩和策は、各開発者が提供する最新の情報を確認してください。

V. 参考情報
GitHub Advisory Database
Brotli: Out-of-bounds write in the Brotli decoder (“Node2Shell”) also affects the PyPI Brotli package
https://github.com/advisories/GHSA-9v8h-qqgm-4m35

OpenAI
Brotli decoder vulnerability
https://patchtheplanet.org/brotli

Aikido Security
Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTP.
https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp

Topへ

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/at/2026/at260034.html

時系列

2026-10-21　Node.jsがセキュリティリリースを公表。本脆弱性は当初「Node2Shell」と呼称されていた。
2026-10-21　JPCERT/CCが本脆弱性に関するアップデート（注意喚起）を公開。

この事例から確認すべきポイント

本件は、Brotliを組み込んだ製品やライブラリを利用するアプリケーションが、攻撃者の細工した圧縮データを展開した場合に影響を受けうる脆弱性です。原文では、影響としてアプリケーションの異常終了、メモリ上の情報漏えい、任意のコード実行が挙げられています。Googleは修正済みバージョンを公開していますが、緩和策は提供していないとされています。そのため、修正版の適用が主な対策となります。Node.js、Bun、Python向けBrotliパッケージなどが影響を受ける製品として挙げられていますが、取得した本文からは個別製品の対応状況や修正時期は確認できませんでした。詳細は公式出典をご確認ください。実務上は、自社でBrotli形式の圧縮データを展開する処理があるかを確認し、利用中のバージョンが対象範囲に該当するかを資産管理情報と照合することが重要です。また、対策適用に加えて侵害有無の調査を行うことが原文で推奨されています。

公式出典

更新履歴

公開日: 2026-10-26 ／最終確認: 2026-10-26

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-26