サイバーセキュリティ

BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）

最終確認日: 2026-10-26

基本データ

分類	サイバーセキュリティ

公開日：2026/10/26 最終更新日：2026/10/26

JVNVU#97400824
BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）

Googleのデータ圧縮アルゴリズムBrotliのC言語実装における脆弱性（CVE-2026-111497）に対するアドバイザリが公開されました。

本脆弱性は「HTTP2Shell」や「Node2Shell」とも呼ばれています。

Brotli 1.2.0から1.2.1より前のバージョン
Brotli 1.1.0から1.1.1より前のバージョン
Brotli 1.0.3から1.0.10より前のバージョン

なお、当該ライブラリを同梱する複数の製品に本脆弱性の影響が及ぶことが確認されています。

Release v1.2.1 · google/brotli · GitHub
Release v1.1.1 · google/brotli · GitHub
Release v1.0.10 · google/brotli · GitHub

攻撃者によって細工されたBrotli圧縮データを処理した場合、任意のコードを実行されたり、機微な情報を窃取されたり、サービス運用妨害（DoS）状態を引き起こされる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。

Node.js Brotli decoder out-of-bounds write permits remote code execution (CVE-2026-111497) – (high)

Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTP.

JPCERT 緊急報告

JPCERT-AT-2026-0034BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

2026/10/26
［関連文書］を更新しました

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU97400824/

公開日: 2026-10-26 ／最終確認: 2026-10-26

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-26