Node2ShellがHTTP2Shellへ進化、多くのHTTPライブラリとアプリに影響

何が起きたのか

2026年10月21日、Node.js の開発チームが、Brotli という圧縮ツールの穴を公表しました。この穴を使うと、攻撃者が悪意のあるデータを送るだけで、プログラムのメモリを壊したり、勝手にプログラムを動かしたりできるおそれがあります。その後、Python のパッケージや、ほかの主要な言語・サービスにも同じ穴があると分かりました。修正版がまだ全部そろっていないものもあります。

数字で見る主な事実

• 穴の番号は CVE-2026-111497 で、通称は「node2shell」です。
• 危険度は CVSS v4.0 で 9.2（最も高い「Critical」）です。
• 影響を受けるのは Brotli 1.0.3 から 1.2.0 までのバージョンで、すべての OS に関係します。
• 修正版は Brotli 1.2.1 と brotlicffi 1.2.1.0 です。
• OpenAI は、この穴を2月に見つけていたと伝えています。当時は修正されていましたが、セキュリティの問題だとは分からず、修正入りのリリースも今回まで出ていませんでした。

Brotli とは

Brotli は Google が作った圧縮方式です。データを小さくして、保存や送信をしやすくします。ウェブページの HTML、CSS、JavaScript などを送るときに広く使われています。受け取った側のソフトが、圧縮されたデータを元に戻して使います。

なぜ大事なのか

Brotli は多くのソフトに組み込まれているため、影響が広く及びます。各プロジェクトが自分で更新版を配る必要があり、更新が遅れると危険な状態が続きます。サーバーもクライアントも攻撃を受けるおそれがあるため、使っている環境を今すぐ確認することが大切です。

これから注目すべきこと

• 使っている環境に Brotli 1.2.0 以前、または brotlicffi 1.2.0.x があるか確認する。
• Brotli 1.2.1 または brotlicffi 1.2.1.0 にアップデートし、コンテナイメージも作り直す。
• パッチがまだ無い場合は、Brotli の展開機能を一時的に止めることが勧められている。
• パッケージの脆弱性チェックツールには、まだこの穴が表示されないことがあるので注意する。