注意喚起2026.10.27

圧縮ライブラリBrotliの脆弱性が悪用の一覧入り。Node.jsなどに影響、v1.2.1や各製品の修正版へ

3分で読める
一次資料4件
セキュリティ図鑑編集部

3つ

Brotliの修正版（v1.2.1・v1.1.1・v1.0.10）

10月21日

3系統

修正されたNode.js（22・24・26）

10月21日

10月27日

CISAがKEVに追加

悪用を確認

SUMMARY

要点をまとめると

01
Googleは2026年10月21日、データ圧縮の仕組みBrotliのC言語版で、細工した圧縮データを展開するとメモリが壊れる脆弱性（CVE-2026-111497）を修正しました。
02
Node.jsも同日に修正版を公開。
03
JPCERT/CCが10月26日に注意喚起し、米CISAは10月27日に悪用確認済みの一覧（KEV）へ加えました。

TO DO

くわしい手順を見る →

この記事をスライドで理解する（6枚）

1 / 6

この記事の流れ

圧縮ライブラリBrotliの脆弱性が悪用の一覧入り。Node.jsなどに影響、v1.2.1や各製品の修正版へ

Brotliって何？

Webの通信などでデータを圧縮する仕組みです。細工したデータを展開させられると、コードを実行されるおそれがあります。

3つBrotliの修正版（v1.2.1・v1.1.1・v1.0.10）

3系統修正されたNode.js（22・24・26）

10月27日CISAがKEVに追加

数字で見る

数字で見ると、こうなります

Brotliの修正版（v1.2.1・v1.1.1・v1.0.10）：3つ／修正されたNode.js（22・24・26）：3系統

10月21日Googleが修正Brotli v1.2.1、v1.1.1、v1.0.10

10月21日Node.jsが修正v22.23.4、v24.22.1、v26.12.1

10月26日JPCERT/CCが注意喚起対策と侵害の調査を呼びかけ

10月27日CISAがKEVに追加悪用を確認

POINT 1

発表されている事実

Brotliって何？

Webの通信などでデータを圧縮する仕組みです。細工したデータを展開させられると、コードを実行されるおそれがあります。

本文で読む

Node.jsを使っているかnode -v で版を見る

PythonのBrotliがあるかpip show brotli で確かめる

サーバーのパッケージbrotli・libbrotliの更新情報

市販の製品や機器開発元の案内を確かめる

POINT 2

自社が対象か確かめる

使っている覚えがないけど？

Node.jsやPythonの部品として入っていることがあります。node -v や pip show brotli で確かめてください。

本文で読む

STEP 1修正版へNode.jsやBrotliを更新、イメージも作り直す

STEP 2製品を洗い出す組み込んだ製品は各開発元の情報で

STEP 3侵害を調べる異常終了や見覚えのないファイル

POINT 3

今すぐやること

何をすればいいの？

Node.jsやBrotliを修正版に上げ、組み込んだ製品は開発元の案内を確かめます。侵害がないかの確認もあわせて行います。

本文で読む

修正版へ更新する。

組み込んだ製品を洗い出す。

侵害がないか調べる。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

Webの通信でデータを小さくするのに使われる圧縮の仕組み「Brotli」に脆弱性が見つかり、米CISAが実際の悪用を確認しました。Brotliは多くのソフトに部品として組み込まれているため、自社が直接入れた覚えがなくても影響を受けることがあります。

01発表されている事実

社長

Brotliって何？

Webの通信などでデータを圧縮する仕組みです。細工したデータを展開させられると、コードを実行されるおそれがあります。

ハカセ

10月21日Googleが修正

Brotli v1.2.1、v1.1.1、v1.0.10

10月21日Node.jsが修正

v22.23.4、v24.22.1、v26.12.1

10月26日JPCERT/CCが注意喚起

対策と侵害の調査を呼びかけ

10月27日CISAがKEVに追加

悪用を確認

10月21日
Google
Brotli v1.2.1、v1.1.1、v1.0.10を公開。境界外書き込みで遠隔からコードを実行されうると説明
10月21日
Node.js
v22.23.4、v24.22.1、v26.12.1を公開。CVE-2026-111497（深刻度high）を含む
10月26日
JPCERT/CC
注意喚起を公開。対策の適用と侵害の有無の調査を呼びかけ
10月27日
CISA
KEVに追加

JPCERT/CCによると、影響を受けるアプリが、攻撃者の細工したBrotli形式のデータを展開すると、アプリの異常終了、メモリ上の情報の漏えい、任意のコードの実行につながるおそれがあります。当初はNode.jsの件として「Node2Shell」、影響が広いことから「HTTP2Shell」とも呼ばれています。

02自社が対象か確かめる

社長

使っている覚えがないけど？

Node.jsやPythonの部品として入っていることがあります。node -v や pip show brotli で確かめてください。

ハカセ

Node.jsを使っているか

node -v で版を見る

PythonのBrotliがあるか

pip show brotli で確かめる

サーバーのパッケージ

brotli・libbrotliの更新情報

市販の製品や機器

開発元の案内を確かめる

Brotli本体の対象は、v1.2.0からv1.2.1より前、v1.1.0からv1.1.1より前、v1.0.3からv1.0.10より前です。JPCERT/CCは、影響を受ける製品としてNode.js、Bun、Python向けのBrotliパッケージを挙げています。

Node.js：node -v で版を見て、22系はv22.23.4、24系はv24.22.1、26系はv26.12.1より前なら対象
Python：pip show brotli で入っているかと版を確かめる
Linuxサーバー：OSのパッケージ（brotliやlibbrotli）の更新情報を確かめる
市販の製品や機器：開発元の案内を確かめる

受け取ったデータをBrotliで展開する処理を使っているかがポイントです。外部の会社に開発を任せたWebサービスは、その会社に確認を頼みます。

03今すぐやること

社長

何をすればいいの？

Node.jsやBrotliを修正版に上げ、組み込んだ製品は開発元の案内を確かめます。侵害がないかの確認もあわせて行います。

ハカセ

STEP 1修正版へ

Node.jsやBrotliを更新、イメージも作り直す

STEP 2製品を洗い出す

組み込んだ製品は各開発元の情報で

STEP 3侵害を調べる

異常終了や見覚えのないファイル

修正版へ更新する。Node.jsは上の版以降へ、Brotliを直接使うアプリはv1.2.1、v1.1.1、v1.0.10以降へ。Dockerのイメージも作り直します。
組み込んだ製品を洗い出す。Googleは緩和策を出していません。製品ごとの対応は各開発元の情報を確かめます。
侵害がないか調べる。JPCERT/CCは侵害の有無の調査も求めています。アプリの不自然な異常終了や、見覚えのないプロセス・ファイルがないかを確かめます。