KR — 전자신문
ティオリ、「Node2Shell」緊急対応ガイドを公開
セキュリティ2分で読めます
韓国のサイバーセキュリティ会社Tioreeが、Node.jsの脆弱性「Node2Shell」を検証し、対応ガイドを公開しました。この弱点を突かれると、特別に作られた圧縮データで攻撃者がNode.jsサーバーを壊せるおそれがあります。
何が起きたのか
Tioreeは、自社で「Node2Shell」(CVE-2026-111497)を再現して確認したと、26日に発表しました。この弱点は21日に公開されていました。Tioreeは、対応方法を説明するガイドと、無料のオンライン確認ツール「Node.js Guard」も出しました。
主な数字と事実
- Node.jsはリスクを「High（高）」と評価
- 影響を受けるのは、セキュリティ修正がされていないNode.js 22.x、24.x、26.x
- 21日に公開された修正版は22.23.4、24.22.1、26.12.1
- 弱点はNode.js本体にあり、開発者が書いたコードが原因ではない
弱点の場所
Node.jsは、ウェブサイトや裏側のシステムを作るのによく使われます。問題は、Brotliという、ウェブのデータを小さくする仕組みで圧縮されたデータを開く処理にあります。本来は、おかしなデータはエラーとして拒否されるべきです。しかし、弱いコードは時々、おかしなデータのまま処理を続けてしまいます。その結果、データが安全な場所の外に書き込まれることがあります。
なぜ大事なのか
メモリ（プログラムが一時的にデータを置く場所）が壊れると、サーバーのプログラムが止まったり、情報が漏れたりします。条件によっては、攻撃者が離れた場所からサーバー上でプログラムを動かせるおそれもあります。ただし、すべてのNode.jsサーバーが危険なわけではありません。外から悪意のある圧縮データが、弱い処理にまで届いた場合にだけ攻撃が成立します。多くの会社がNode.jsを使っているため、影響範囲は広いと考えられます。開発者が圧縮を直接使っていなくても、ウェブの枠組みが内部で使っている場合があるため、注意が必要です。
今後注目すべきこと
- すぐに更新できない会社は、一時的な対策を取る必要があります
- 修正版やその後の最新のセキュリティパッチが適用されるかどうか
- Tioreeが公開したガイドと確認ツールの内容
用語解説
- Tioree
- 韓国のサイバーセキュリティ会社。今回、脆弱性を検証し、対応ガイドを公開した。
- Node.js
- ウェブサイトや裏側のシステムを作るときに使われる、サーバー向けのプログラム環境。
- Node2Shell
- 今回話題になった、Node.jsの圧縮データ処理にある脆弱性（セキュリティ上の弱点）の名前。
- Brotli
- ウェブのデータを小さくして速く送るための圧縮の仕組み。
- CVE-2026-111497
- 世界共通の番号で管理される、この脆弱性の識別番号。
- Node.js Guard
- Tioreeが無料で公開した、オンラインで脆弱性の影響を確認できるツール。