2026年10月26日、JPCERT/CCとJVNが、データ圧縮の部品「Brotli（ブロトリ）」の脆弱性（＝システムの安全上の欠陥）「CVE-2026-111497」について注意喚起を出しました。最初はNode.jsの脆弱性として「Node2Shell」と呼ばれていましたが、原因はWebの通信で広く使われるBrotliそのものにあり、「HTTP2Shell」とも呼ばれています。
「Node.jsは使っていないはずだけど、Brotliって何？うちのシステムにも関係あるの？」
先に結論をお伝えします。Brotliは、Webサイトやシステムが通信するデータを小さくするために、多くのプログラミング言語やサーバー用ソフトの中に組み込まれている部品です。そのため、Node.jsを使っていなくても、Python・Java・.NETや、サーバーのOSを通じて影響を受ける可能性があります。サーバーのOSや実行環境の更新、コンテナの作り直しが済んでいるかを、開発会社に確認しましょう。
この記事では、Brotliとは何か、どこに影響が出るのかを整理し、発注者が開発会社に確認したいことを、チェックリストと質問例つきで解説します（内容は2026年10月27日時点の情報に基づきます）。
Brotliの脆弱性、公式発表の要点
📰 出典：JPCERT/CC「BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起」（2026年10月26日）
📰 出典：JVN「JVNVU#97400824 BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）」（2026年10月26日）
| 項目 | 公式発表の内容 |
|---|---|
| 対象 | Googleが開発するデータ圧縮の部品「Brotli」（C言語で書かれたもの） |
| 影響を受けるバージョン | 1.0.3〜1.0.9、1.1.0、1.2.0 |
| 修正版 | 1.0.10／1.1.1／1.2.1（Googleが10月21日に公開） |
| 起きること | 細工された圧縮データを展開すると、プログラムが止まる、メモリ上の情報が漏れる、遠隔から任意のプログラムを実行される、などのおそれ |
| 深刻度 | CVSS v4.0 で 9.2（緊急）。追記（10月30日）：米国の脆弱性データベースNVDも独自の評価でCVSS v3.1の9.8（緊急） |
| 影響を受ける製品の例 | Node.js、Bun（JavaScriptの実行環境）、Python向けのBrotliの部品など、Brotliを組み込んだ多くの製品 |
| 緩和策 | Googleからの緩和策はなし。組み込んでいる各製品の情報を確認する |
JPCERT/CCは、対象の製品を使っている場合は、修正版の適用と、すでに攻撃されていないか（侵害の有無）の調査を速やかに行うよう求めています。
なお、CVEの記録に付いた米国CISAの評価（10月23日時点）では、悪用は「確認されていない」とされており、CISAの「悪用が確認された脆弱性」の一覧にも、10月27日時点で載っていませんでした。追記：10月28日 8時時点では、米国CISAが10月27日（米国時間）にこの脆弱性を一覧に追加し、実際の悪用が確認されています。
CVE番号やCVSSの点数の読み方は、次の記事で解説しています。
Brotliとは？なぜ影響が広いのか
Webの通信を小さくする「圧縮」の部品
Brotliは、Googleが開発したデータ圧縮の方式と、そのための部品です。Webサイトを表示するときのHTMLやCSS、JavaScript、APIのデータなどを小さくして送り、受け取った側で元に戻す（展開する）ことで、通信を速くします。ブラウザとWebサーバーの間だけでなく、サーバー同士がAPIでやり取りする通信でも使われています。
Brotliは、多くのプログラミング言語やサーバー用ソフトの「中」に部品として組み込まれています。そのため、Brotli本体が直っても、組み込んでいる製品ごとに、それぞれ修正版を出す必要があります。今回、Node.js・Python・Java・.NETなど、製品ごとに対応がばらばらに進んでいるのはこのためです。
「受け取って展開する側」が危ない
Red Hatは、攻撃が成り立つには、攻撃者が用意した圧縮データを相手に展開させる必要があると説明しています。たとえば、Webの通信で圧縮されたデータを受け取って元に戻す処理や、Node.jsでデータを取りに行く処理などです。
発注者の目線で言い換えると、次の両方が対象になりえます（筆者の見解）。
| 立場 | 自社システムの中の例 |
|---|---|
| 受け取る側がサーバー | 外部から送られてくる圧縮データを受け付けて展開する、自社のWebサーバーやAPI |
| 受け取る側がプログラム | 外部のサービスやAPIからデータを取りに行き、圧縮された応答を展開する、自社システムの処理（データ連携・定期実行の処理など） |
セキュリティ企業のAikidoは、この脆弱性を報告したOpenAIのチームの話として、「悪意のある利用者が更新していないサーバーを乗っ取る」ことも、「悪意のあるサーバーが、圧縮された応答を受け取る更新前の利用者側を乗っ取る」ことも可能だとしています（専門家の見解）。
どこを更新すればいいのか
主な製品と修正版（10月27日時点）
下の表は、公式情報と、セキュリティ企業Aikidoのまとめ（10月27日時点）をもとに整理したものです。最新の状況は、各製品の提供元の情報で確認してください。
| 製品・環境 | 修正版・状況 | 確認元 |
|---|---|---|
| Brotli本体 | 1.0.10／1.1.1／1.2.1 | JPCERT/CC・JVN |
| Node.js | 22.23.4／24.22.1／26.12.1（20以前には出ない） | Node.js公式 |
| Python（Brotli・brotlicffiの部品） | Brotli 1.2.1／brotlicffi 1.2.1.0 | 脆弱性データベース（OSV） |
| PHP（Windows版） | 8.5.12-1／8.4.27-1／8.3.36-1／8.2.35-1 | PHP公式 |
| Ubuntu（brotliのパッケージ） | 22.04・24.04・26.04・26.10で修正版あり。追記（10月30日）：20.04以前も有償の延長サポート（Ubuntu Pro）で修正版あり | Ubuntu公式 |
| Debian（brotliのパッケージ） | 12・13で修正版あり | Debian公式 |
| Red Hat Enterprise Linux | 深刻度は「Important（重要）」。標準の配布元では修正版はまだ（Aikido調べ） | Red Hat公式／Aikido |
| .NET | 8.0.33／9.0.22／10.0.14（.NET Frameworkは影響なし）。追記（10月30日）：Ubuntu公式でも、同社が配る.NET 8・10の修正版（8.0.33・10.0.14）を確認 | Aikido |
| Java（brotli4j。Nettyを使うシステム） | 1.24.0 | Aikido |
| Bun | 1.4.4 | Aikido |
| Envoy・Istio（サーバーの通信を中継するソフト） | Envoy 1.37.8／1.38.6／1.39.3／1.40.0、Istio 1.29.9・1.30.6・1.31.2 | Aikido |
📰 出典：OSV「GHSA-9v8h-qqgm-4m35」（PyPIのBrotliへの影響）
Node.jsとPHPの修正版については、次の記事でも解説しています。
バージョン番号だけでは判断できない
DebianやUbuntuなどのOSの提供元は、元のバージョンを変えずに修正だけを取り込むことがあります。たとえばDebian 12の修正版は「1.0.9-2+deb12u1」で、Brotli本体の修正版（1.0.10）より古い番号に見えますが、修正済みです。「番号が古いから危ない」「番号が新しいから安全」とは言い切れないので、修正が入っているかは開発会社やサーバー会社に確認してください。
部品が「中に組み込まれている」ものは、作り直しが必要
アプリやコンテナ（Docker）の中にBrotliが組み込まれている場合は、サーバーのOSを更新するだけでは直りません。Aikidoは、部品の更新に加えて、アプリやコンテナのイメージを作り直して入れ替え、サービスを再起動する必要があるとしています。.NETで「実行環境ごと同梱する形」で作ったアプリも同様です。
発注者にとって何が変わるか／変わらないか
ここからは、公表された情報をもとにした筆者の見解です。
変わらないこと：今すぐシステムを止める段階ではない（10月28日追記：悪用が確認されたため、未更新なら最優先で対応）
（追記：10月28日 8時時点）米国CISAは10月27日、Brotliの脆弱性（CVE-2026-111497）を「実際に悪用が確認された脆弱性」の一覧（KEV）に追加しました。このため、この節の見出しの「今すぐシステムを止める段階ではない」は、まだ修正版に更新していないシステムには当てはまりません。更新を最優先にし、すぐに更新できない場合は、圧縮データを展開する機能を止める、サービスを一時停止するといった対応も含めて、開発会社と相談してください。修正版を当てたあとは、すでに攻撃されていないか（侵害の有無）も調べてもらいましょう。
📰 出典：CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-111497、2026年10月27日追加）
執筆時点で、悪用が確認されたという公式の報告はなく、多くの製品で修正版が出ています。システムを止めるより、更新を急ぐことが対応の中心になります。
変わること1：「Node.jsを使っていないから大丈夫」とは言えない
最初はNode.jsの脆弱性として報じられましたが、実際にはPython・Java・.NETや、サーバーのOSのパッケージなど、多くのところに影響が広がっています。自社のシステムが何の言語・ソフトで動いているかを、あらためて開発会社に確認しましょう。
変わること2：更新は「1か所」では済まないことがある
1つのシステムの中でも、OSのパッケージ、プログラミング言語の実行環境、アプリが使う部品、コンテナのイメージなど、Brotliが入っている場所が複数ありえます。どこを更新したかを一覧にしてもらうと、漏れを防げます。また、Red Hat Enterprise Linuxのように、執筆時点で修正版がまだ出ていない環境もあるため、出たらすぐ当てる段取りも必要です。
「『どの言語・ソフトで動いているか』『コンテナを使っているか』が分かれば、どこを更新すべきかの見当がつきます。」
今やるべきこと・まだ様子見でいいこと
| 区分 | 内容 |
|---|---|
| 今やること | 自社のシステムが、どの言語・実行環境（Node.js・Python・Java・.NET・PHPなど）とOSで動いているか、開発会社に確認する |
| 今やること | サーバーのOS・実行環境・アプリの部品のうち、Brotliの修正が必要なものがあるか確認してもらう |
| 今やること | コンテナで動かしている場合は、イメージを作り直して入れ替えたか確認する |
| 早めに | 修正版を当てたあと、すでに攻撃されていないか（侵害の有無）を調べてもらう |
| 対応待ち | Red Hat Enterprise Linuxなど、まだ修正版が出ていない環境は、出たらすぐ当てる段取りを決める |
| 様子見でよい | システムの停止（悪用の確認や、修正版が出ない環境での判断が必要になったら検討） |
発注者がやること チェックリスト
- ☐ 自社のシステムが、どの言語・実行環境とOSで動いているか把握した
- ☐ Brotliの修正が必要な場所（OS・実行環境・アプリの部品・コンテナ）を開発会社に洗い出してもらった
- ☐ コンテナで動かしている場合、イメージを作り直して入れ替えたか確認した
- ☐ 修正版が出ていない環境があれば、出たときに誰がいつ当てるかを決めた
- ☐ 修正版を当てたあと、すでに攻撃されていないか調べてもらうよう依頼した
- ☐ 今回の更新が、保守契約の範囲内か別費用かを確認した
開発会社への質問例
- 「Brotliの脆弱性（CVE-2026-111497）は、当社のシステムに関係しますか？Node.js以外の部分も含めて教えてください」
- 「Brotliの修正が必要な場所は、OS・実行環境・アプリの部品・コンテナのうち、どこにありますか？」
- 「コンテナを使っている場合、イメージの作り直しと入れ替えはいつできますか？」
- 「修正版がまだ出ていない環境はありますか？出たらいつ当てられますか？」
- 「すでに攻撃されていないか、記録（ログ）などで調べてもらえますか？」
まとめ
Brotliは、Webの通信データを小さくするために、多くの言語やサーバー用ソフトに組み込まれている圧縮の部品です。その脆弱性（CVE-2026-111497、CVSS v4.0で9.2）は、Node.jsだけでなく、Python・Java・.NET、サーバーのOSなど、幅広いところに影響しています。その後、米国CISAが10月27日に実際の悪用を確認しました（追記：10月28日 8時時点）。多くの製品で修正版が出ているので、まだ更新していない場所は最優先で更新しましょう。
発注者がやるべきことは、自社のシステムがどの言語・ソフトで動いているかを確認し、Brotliの修正が必要な場所をすべて更新してもらうことです。コンテナの作り直しや、修正版が出ていない環境への対応、侵害の有無の調査も、あわせて開発会社に確認しましょう。
あわせて読みたい関連記事
