-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

各位

                                                   JPCERT-AT-2026-0034
                                                             JPCERT/CC
                                                            2026-10-26

                <<< JPCERT/CC Alert 2026-10-26 >>>

BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起

            https://www.jpcert.or.jp/at/2026/at260034.html


I. 概要
Googleは、2026年10月21日にBrotliのC言語実装における境界外書き込みの脆弱
性（CVE-2026-111497）に関するアップデートを公開しました。本脆弱性の影響
を受けるアプリケーションなどが、攻撃者が細工したBrotli形式の圧縮データを
展開すると、メモリの破損によりアプリケーションの異常終了、メモリ上の情報
の漏えい、任意のコード実行などにつながる可能性があります。

    GitHub google / brotli
    Release v1.2.1
    https://github.com/google/brotli/releases/tag/v1.2.1

    GitHub google / brotli
    Release v1.1.1
    https://github.com/google/brotli/releases/tag/v1.1.1

    GitHub google / brotli
    Release v1.0.10
    https://github.com/google/brotli/releases/tag/v1.0.10

本脆弱性はNode.jsが2026年10月21日に公表した脆弱性に関連して「Node2Shell」
と呼称されていました。しかし、本脆弱性の原因はBrotliのC言語実装にあり、
BrotliはHTTP通信で利用されるデータ圧縮ライブラリであったことから複数の製
品で影響を受けるため「HTTP2Shell」とも呼称されています。

    The Node.js Project
    Wednesday, October 21, 2026 Security Releases
    https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報な
どを参考に、速やかに対策の適用および侵害有無の調査を実施してください。


II. 対象
対象となるBrotliのバージョンは以下のとおりです。

  - Brotli v1.2.0からv1.2.1より前のバージョン
  - Brotli v1.1.0からv1.1.1より前のバージョン
  - Brotli v1.0.3からv1.0.10より前のバージョン

Brotliを組み込んだ製品およびバージョンは多岐にわたり、本脆弱性の影響を
受ける製品には、Node.js、Bun、Python向けBrotliパッケージなどが含まれま
す。アプリケーションなどでBrotli形式の圧縮データを展開する処理を利用し
ている場合は、各開発元が提供する最新の情報を確認し、影響の有無および本
脆弱性への対応状況を確認してください。


III. 対策
Googleは、修正済みバージョンを公開しています。十分なテストを実施の上、
速やかに修正済みバージョンを適用してください。Brotliを組み込んだ製品に
関するアップデートや対応状況は、各開発者が提供する最新の情報を確認して
ください。


IV. 緩和策
Googleは、本脆弱性に対して緩和策を提供していません。Brotliを組み込んだ
製品に関する緩和策は、各開発者が提供する最新の情報を確認してください。


V. 参考情報
    GitHub Advisory Database
    Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
    https://github.com/advisories/GHSA-9v8h-qqgm-4m35

    OpenAI
    Brotli decoder vulnerability
    https://patchtheplanet.org/brotli

    Aikido Security
    Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTP.
    https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで
ご連絡ください。

======================================================================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
-----BEGIN PGP SIGNATURE-----
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=/c2V
-----END PGP SIGNATURE-----