Googleの圧縮形式「Brotli」に深刻な脆弱性「HTTP2Shell」、Web関連に幅広く影響／OpenAIが発見した「Node2Shell」の影響が拡大、認証なしでリモートコード実行のおそれ

何が起きたのか

Googleのデータ圧縮アルゴリズム「Brotli」のC言語版に、深刻な脆弱性「CVE-2026-111497」が見つかりました。攻撃者は、ログインしなくても遠くから処理用のメモリを壊せるおそれがあります。最初はOpenAIが「Node.js」の問題として報告したため「Node2Shell」と呼ばれていました。その後の調査で、HTTPを扱う多くのライブラリやアプリにも影響があると分かりました。問題の場所は、圧縮データをもとに戻す部分（デコーダー）です。

主な数字と事実

• 影響を受けるのは v1.0.3 から v1.2.0 までです。
• 深刻度を示す「CVSS 4.0」の基本値は 9.2 で、最も高い「Critical」に分類されています。
• 対策版は Brotli v1.0.10、v1.1.1、v1.2.1 で、2026年10月21日に公開されました。
• Node.js（v22.23.4、v24.22.1、v26.12.1）、Bun（v1.4.4）、Envoy Proxy、Istio にも対策版が入っています。

初めての人に向けた説明

Brotliは、Webページなどのデータを小さくして送るための仕組みです。HTTPS通信でも使われていて、サーバーとブラウザの間で送るデータを縮めています。データを縮めた側と、受け取って元に戻す側が必要です。今回の弱点は、元に戻す側で起きます。名前の「HTTP2Shell」は少し誤解を招きやすいのですが、HTTP/2という通信方式そのものの欠陥ではありません。HTTPの世界全体に影響が広いという意味です。

なぜ重要なのか

Node.jsだけでなく、多くのインターネット関連製品に影響がおそれられています。また、Brotliを組み込んだアプリやコンテナーは、ライブラリを直すだけでなく作り直して配り直す必要があります。すぐに更新できない場合は、信頼できないデータへのBrotli展開を止める対策もあります。gzipやdeflateは使ったままで大丈夫とされています。

今後の注目点

• 利用しているソフトが対策版に更新されたかを確認すること。
• Brotliを静的に組み込んだアプリは、再ビルドと再配備が済んだかを確認すること。
• Istioの1.29系列はサポートが終わっているため、1.30以降への移行が推奨されていること。