Brotliの脆弱性CVE-2026-111497を確認するには？影響バージョンと利用環境の調べ方

2026年10月28日時点の公開情報に基づく解説です。日本の脆弱性対策情報ポータル「Japan Vulnerability Notes（JVN）」は2026年10月26日、BrotliのC言語実装に関するCVE-2026-111497を公表しました。BrotliはWeb通信やアプリケーションで利用される圧縮方式です。今回は圧縮データを復号・展開する処理に問題があり、ライブラリを同梱する製品にも影響が広がり得るため、単に「自分はBrotliを直接導入していない」という理由だけでは確認を終えられません。

この記事では、CVE番号から一次情報を確認し、サーバーや開発環境にどのBrotli実装が入っているか、そして実際に外部由来の圧縮データを展開しているかを調べる方法を順に説明します。以下のコマンドは確認用の例であり、特定のシステムに脆弱性が存在することを証明するものではありません。

2026年10月の更新：CVE-2026-111497で何が判明したか

JVNの「JVNVU#97400824」は、Google BrotliのC言語実装に境界外書き込みの脆弱性があると説明しています。攻撃者が細工したBrotli圧縮ストリームを脆弱なデコーダーで処理すると、メモリ破損、機微情報の漏えい、サービス運用妨害（DoS）、場合によっては任意コード実行につながる可能性があります。これらは技術的に想定される影響であり、すべてのBrotli利用サイトで被害が発生したという意味ではありません。

一次情報はJVNのCVE-2026-111497注意喚起とGoogle Brotli公式リリース一覧です。JVNはこの問題を「Node2Shell」「HTTP2Shell」とも呼んでいますが、見出しや俗称よりも、製品をまたいで追跡できるCVE番号を検索の軸にするのが確実です。

影響を受けるBrotli本体のバージョン

これはGoogle Brotli本体の修正系列です。たとえば「1.0.10」は数字が「1.1.0」より小さく見えますが、1.0系の修正版です。一方、組み込み製品やディストリビューションでは修正を旧バージョン表記にバックポートする場合もあり、単純なバージョン文字列だけで最終判定しないでください。

CVE番号で公式のセキュリティ情報を調べる手順

1．CVE番号が同じか確認する

検索結果に「Brotli」「RCE」などの語が並んでも、別の問題を指している可能性があります。まず「CVE-2026-111497」を正確に控え、GitHub Advisory Databaseの該当情報、JVN、開発元のリリースノートで照合します。過去のBrotli関連脆弱性である「CVE-2020-8927」と混同しないことも重要です。

2．影響範囲と修正済みバージョンを分けて読む

確認したい項目は「対象となる製品名」「影響バージョン」「修正済みバージョン」「攻撃の成立条件」「回避策」「公開・更新日」です。CVEの説明がライブラリ全体を扱っていても、Node.jsや.NET、Pythonの配布パッケージごとに修正バージョンは異なります。開発元の告知があれば、一般的な脆弱性データベースの説明と併せて確認してください。

3．日本語の通知と製品ベンダーの通知を両方見る

国内向けにはJVNが全体像の把握に役立ちます。ただし、実際の更新対象がOSの共有ライブラリなのか、アプリケーション内に同梱したライブラリなのかはベンダーやビルド方法によって変わります。「公式データベースに掲載された」ことと「自社環境が影響を受ける」ことは別の判定です。

自分の環境でBrotliが使われているか確認する

最初に、稼働中のサービス、利用している言語ランタイム、パッケージ管理方式、コンテナ、外部と通信する処理を一覧にします。開発用PCでの結果と本番コンテナ内の結果は一致しない場合があります。コマンドは調査対象の実際の実行環境で実行してください。

Python：Brotliとbrotlicffiを個別に調べる

python -m pip show Brotli brotlicffi
python -m pip list

仮想環境を利用している場合は、その環境のPythonで実行します。Windowsでは利用状況に応じて「py -m pip show Brotli brotlicffi」も使用できます。PyPAのセキュリティ情報では、PyPIの「Brotli」は1.2.1、「brotlicffi」は1.2.1.0でこの問題が修正されたとされています。PyPAのBrotliアドバイザリとbrotlicffiアドバイザリを参照してください。

「pip show」で表示されない場合でも、別のPython環境、OSパッケージ、あるいはアプリに同梱されたネイティブライブラリの存在までは否定できません。依存関係ファイル、ロックファイル、配布物も確認します。

Node.js：ランタイムの修正状況を確認する

node -v
node -p "process.versions.brotli"

「node -v」で実行中のNode.jsバージョンを確認し、公式セキュリティリリースと比較します。2026年10月の修正リリースとして、22系は22.23.4、24系は24.22.1、26系は26.12.1が案内されています。Node.jsにはBrotliが内蔵されているため、「npm list」にBrotliが出ないことだけを根拠に安全と判断しないでください。内蔵Brotliのバージョン表示は参考になりますが、パッチがバックポートされる場合があるため、Node.js自体の修正済みリリース番号を優先して評価します。

公式の修正内容はNode.js 22.23.4のリリースノートなどで確認できます。旧式のサポート終了系列を運用している場合は、対応するサポート中の系列への移行も検討してください。

.NET：共有ランタイムとアプリ同梱版に注意する

dotnet --info
dotnet --list-runtimes

MicrosoftはCVE-2026-111497について、.NET 8の8.0.33、.NET 9の9.0.22、.NET 10の10.0.14などの修正版を案内しています。ただし、利用製品によって影響条件が異なります。Microsoftの説明では、ASP.NET CoreとHttpClientは初期設定で自動的にBrotliを展開するわけではなく、Brotli展開を有効化した場合や明示的に展開APIを使う場合に調査が必要です。.NET Frameworkはこの問題の影響対象ではないとされています。

自己完結型（self-contained）アプリやNativeAOTで配布した場合、ホストのランタイム更新だけではバイナリに同梱されたデコーダーは置き換わりません。Microsoftの公式アドバイザリに沿って再ビルドと再配布が必要か確認してください。

Linux・コンテナ・プロキシ：共有ライブラリだけでは足りない

dpkg-query -W 'libbrotli*'
ldconfig -p | grep -i brotli

上記はDebian系Linuxでの調査例です。RPM系ではパッケージ管理ツールでBrotli関連パッケージを調べます。OSの更新情報とバックポート状況も確認してください。DockerやKubernetesでは、ホストだけでなく実行中のイメージ内で同様の確認を行い、SBOM（ソフトウェア部品表）やビルド時の依存ライブラリも調べます。

たとえばEnvoyにはBrotliデコーダーを利用する構成で影響を受ける版があり、Envoyの公式アドバイザリでは1.40.0、1.39.3、1.38.6、1.37.8、1.36.12を修正済み版として列挙しています。プロキシの構成、同梱ライブラリ、実際のデコード処理を一緒に確認しましょう。

どのような利用方法でリスクが高まるのか

重要なのは信頼できない相手から受け取ったBrotli圧縮データを、問題のあるデコーダーで展開する経路が存在するかです。たとえばHTTPレスポンスの「Content-Encoding: br」、外部ファイルの展開、APIが受け付ける圧縮リクエストなどが調査対象になります。一方、Webサイトの配信でBrotli圧縮を有効にしている事実だけでは、今回のデコーダー脆弱性による侵害が可能だとは判断できません。

確認時は通信の入口、使用するライブラリ、入力データの信頼境界、デコードするプロセスの権限、公開ネットワークから到達できるかを整理してください。危険性の評価には実装と設定の確認が不可欠です。テスト用に不正な圧縮データを本番環境へ送って検証することは避け、ベンダーの検出情報や安全な依存関係検査を使う方が適切です。

修正までに実施したい対策と確認順序

1. 対象を特定する：実行環境ごとにBrotli本体、組み込み先の製品名、バージョン、ビルド元を記録します。
2. 実際の入力経路を確認する：外部由来の圧縮データがデコーダーに渡るかを調べ、インターネット公開サービスから優先して対応します。
3. 製品別の修正を適用する：Google Brotli本体だけでなく、Node.js、Python、.NET、Envoyなどの製品ベンダーが公開した修正版を利用します。
4. ビルド成果物を作り直す：コンテナや静的リンク、アプリ同梱ライブラリを使用する場合は、新しい依存関係で再ビルドし、再配置します。
5. 再点検する：デプロイ後のバージョンと依存関係を調べ、脆弱なライブラリが残っていないか確認します。

直ちに更新できない場合は、既存設定の範囲で信頼できないBrotliデータの展開を一時停止できるか検討します。ただし、Brotliの無効化は通信機能や互換性に影響することがあるため、既存の処理経路を把握したうえで変更してください。恒久対策は修正版への更新です。

よくある疑問

CVE番号が検索トレンドに出ていれば、自分のサイトも危険ですか？

いいえ。検索トレンドは利用環境の証拠ではありません。影響を受ける製品とバージョンを使用し、問題となる展開処理があるかを確認して初めて具体的な判定ができます。

PythonでBrotliが見つからなければ調査は終了ですか？

終了ではありません。Node.jsに内蔵されたBrotli、コンテナ内のライブラリ、依存製品に同梱されたコピーなど、別の場所から利用されている場合があります。調査範囲を本番環境と配布物まで広げてください。

「最新バージョン」にしたのにCVEが検出されるのはなぜ？

古いコンテナイメージが残っている、別の仮想環境が動いている、ライブラリがアプリに静的リンクされている、検査ツールがバックポート修正を認識していない、といった可能性があります。検出内容を無視せず、実行中のバイナリとベンダーの修正情報を突き合わせて判断します。

確認に使う一次情報

• JVN：Brotliの境界外書き込みの脆弱性（2026年10月26日公開）
• Google Brotli：公式リリースと修正版
• PyPA：Python Brotliの脆弱性情報
• Microsoft：.NET向けセキュリティ情報
• Envoy：影響条件と修正バージョン

脆弱性情報は公開後に更新されることがあります。2026年10月28日以降に判断する場合は、上記の公式ページで新しい修正や対象範囲の変更を必ず確認してください。