Microsoft、Google Brotliの脆弱性に対する.NETの緊急セキュリティ修正を公開

何が起きたか

Microsoft は、通常の更新日とは別に「臨時の更新」を出し、.NET を使う人に「できるだけ早く」更新するよう求めています。問題は Brotli という、データを小さくまとめる（圧縮する）技術のバグです。このバグを悪用されると、攻撃者がコンピューターのメモリを書き換えるおそれがあります。

主な数字と事実

• 対象は .NET 8、9、10、11 です。
• 脆弱性の番号は CVE-2026-111497 で、CVSS v3.1 で 8.1 と評価されています（10 点満点に近いほど危険）。
• Node.js は 10 件の脆弱性を直しました。その中で最も危険なのがこの番号です。
• Microsoft の資料では「悪用の可能性は高い」とされています。ただし、実際の攻撃に使われた確認はまだありません。
• クラウド環境の 91% が、この欠陥を持つ部品を使っているとされています。

背景

Brotli は多くのソフトに組み込まれているため、1 つの欠陥が広い範囲に影響します。Node.js、Python、Bun、Envoy、Istio なども修正を出しました。元のバグは 2 月に Brotli 本体のコードで直されていましたが、当時はセキュリティの問題だと分かっていませんでした。そのため、このソフトを使う他のソフトにも更新が必要になります。

なぜ大事か

Brotli は Web サービスやクラウドで広く使われています。攻撃者は、特別に作ったデータをサーバーに送るだけで攻撃できる可能性があります。さらに、画像ソフト FFmpeg を使った攻撃方法も見つかっており、Web 以外にも危険が広がっています。使っているソフトが Brotli を含んでいないか確認し、更新することが大切です。

今後注目すべき点

• 実際の攻撃が起きるかどうか。
• Brotli を使う他のソフトが、いつ修正を出すか。
• FFmpeg や Apache Arrow などへの影響が、どこまで広がるか。