各位

JPCERT-AT-2026-0034
JPCERT/CC
2026-10-26

JPCERT/CC Alert 2026-10-26

BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起

https://www.jpcert.or.jp/at/2026/at260034.html


I. 概要Googleは、2026年10月21日にBrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関するアップデートを公開しました。本脆弱性の影響を受けるアプリケーションなどが、攻撃者が細工したBrotli形式の圧縮データを展開すると、メモリの破損によりアプリケーションの異常終了、メモリ上の情報の漏えい、任意のコード実行などにつながる可能性があります。

GitHub google / brotli
Release v1.2.1
https://github.com/google/brotli/releases/tag/v1.2.1

GitHub google / brotli
Release v1.1.1
https://github.com/google/brotli/releases/tag/v1.1.1

GitHub google / brotli
Release v1.0.10
https://github.com/google/brotli/releases/tag/v1.0.10

本脆弱性はNode.jsが2026年10月21日に公表した脆弱性に関連して「Node2Shell」と呼称されていました。しかし、本脆弱性の原因はBrotliのC言語実装にあり、BrotliはHTTP通信で利用されるデータ圧縮ライブラリであったことから複数の製品で影響を受けるため「HTTP2Shell」とも呼称されています。

The Node.js Project
Wednesday, October 21, 2026 Security Releases
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。


II. 対象対象となるBrotliのバージョンは以下のとおりです。

- Brotli v1.2.0からv1.2.1より前のバージョン
- Brotli v1.1.0からv1.1.1より前のバージョン
- Brotli v1.0.3からv1.0.10より前のバージョン

Brotliを組み込んだ製品およびバージョンは多岐にわたり、本脆弱性の影響を受ける製品には、Node.js、Bun、Python向けBrotliパッケージなどが含まれます。アプリケーションなどでBrotli形式の圧縮データを展開する処理を利用している場合は、各開発元が提供する最新の情報を確認し、影響の有無および本脆弱性への対応状況を確認してください。


III. 対策Googleは、修正済みバージョンを公開しています。十分なテストを実施の上、速やかに修正済みバージョンを適用してください。Brotliを組み込んだ製品に関するアップデートや対応状況は、各開発者が提供する最新の情報を確認してください。


IV. 緩和策Googleは、本脆弱性に対して緩和策を提供していません。Brotliを組み込んだ製品に関する緩和策は、各開発者が提供する最新の情報を確認してください。


V. 参考情報
GitHub Advisory Database
Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI Brotli package
https://github.com/advisories/GHSA-9v8h-qqgm-4m35

OpenAI
Brotli decoder vulnerability
https://patchtheplanet.org/brotli

Aikido Security
Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTP.
https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp