JPCERT/CC が 2026 年 10 月 26 日に、Brotli の C 言語実装の脆弱性（CVE-2026-111497）について、注意喚起を公表しました（JPCERT-AT-2026-0034）。Brotli を組み込んだ製品を使っている開発者や、サイトの運営者に向けて、対象のバージョン、修正版、確認することを整理します。

脆弱性の内容

Brotli は、HTTP 通信で使われるデータ圧縮ライブラリです。C 言語の実装に、境界外書き込みの脆弱性があります。本脆弱性の影響を受けるアプリケーションなどが、攻撃者が細工した Brotli 形式の圧縮データを展開すると、メモリの破損が起こります。

その結果として、次のことにつながる可能性があります。

• アプリケーションの異常終了
• メモリ上の情報の漏えい
• 任意のコードの実行

この脆弱性は、2026 年 10 月 21 日に Node.js が公表した脆弱性に関連して、当初は「Node2Shell」と呼ばれていました。原因は Brotli の C 言語実装にあり、HTTP 通信で使われるライブラリであることから、複数の製品が影響を受けるため、「HTTP2Shell」とも呼ばれています。

対象のバージョンと修正版

系統	対象のバージョン	修正版
1.2 系	v1.2.0 から v1.2.1 より前	v1.2.1
1.1 系	v1.1.0 から v1.1.1 より前	v1.1.1
1.0 系	v1.0.3 から v1.0.10 より前	v1.0.10

影響を受ける製品

Brotli を組み込んだ製品とバージョンは多岐にわたります。影響を受ける製品には、Node.js、Bun、Python 向けの Brotli パッケージなどが含まれます。

自分のアプリケーションが Brotli 形式の圧縮データを展開する処理を使っている場合は、各開発元が提供する最新の情報で、影響の有無と対応状況を確認します。

対策と緩和策

• 対策: Google が修正済みのバージョンを公開しています。十分なテストを実施のうえ、速やかに適用します。Brotli を組み込んだ製品のアップデートと対応状況は、各開発者の情報を確認します。
• 緩和策: Google は、この脆弱性に対する緩和策を提供していません。Brotli を組み込んだ製品の緩和策は、各開発者の情報を確認します。

JPCERT/CC は、対策の適用に加えて、侵害の有無の調査も速やかに実施するよう求めています。

手続き・判断の前に確認すること

• 使っている Node.js、Bun、Python の Brotli パッケージなどが、Brotli を組み込んでいるか、対象のバージョンか。
• Node.js の場合: Node.js プロジェクトが 2026 年 10 月 21 日に公表したセキュリティリリースの案内。
• Python の Brotli パッケージ（PyPI）の場合: GitHub Advisory Database の該当の勧告（GHSA-9v8h-qqgm-4m35）。
• 影響範囲の整理: Aikido Security や OpenAI（patchtheplanet.org）の解説が、JPCERT/CC の参考情報に挙がっています。

次にやること

以下は、注意喚起の内容を踏まえた想定です。

• 自分が運営するアプリケーションや、使っているサーバー製品で、Brotli を使っているものを洗い出す。
• 対象のバージョンなら、修正版（v1.2.1、v1.1.1、v1.0.10）か、各開発元が出した更新を、テストのうえ適用する。
• 更新後に、不審な異常終了やアクセスの記録がないかを調べる。

関連：PHP の Windows ビルドでも、この脆弱性への対応が告知されています。PHP Windows 版の更新と Brotli 脆弱性の確認点も、あわせて読んでください。

出典

• JPCERT/CC 注意喚起: 注意喚起: BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (公開)

内容は確認日時点のものです。最新の情報は、出典の公式ページで確認してください。

本記事は、公式情報（JPCERT/CC 注意喚起）の内容を整理したものです。私が実際に使った感想ではありません。アフィリエイトリンクは含みません。 確認日: 2026-10-29 / 出典: https://www.jpcert.or.jp/at/2026/at260034.html