BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）

公開日：2026/10/26 最終更新日：2026/10/26

JVNVU#97400824
BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）

Googleのデータ圧縮アルゴリズムBrotliのC言語実装における脆弱性（CVE-2026-111497）に対するアドバイザリが公開されました。

本脆弱性は「HTTP2Shell」や「Node2Shell」とも呼ばれています。

Brotli 1.2.0から1.2.1より前のバージョン

Brotli 1.1.0から1.1.1より前のバージョン

Brotli 1.0.3から1.0.10より前のバージョン

なお、当該ライブラリを同梱する複数の製品に本脆弱性の影響が及ぶことが確認されています。

Release v1.2.1 · google/brotli · GitHub

Release v1.1.1 · google/brotli · GitHub

Release v1.0.10 · google/brotli · GitHub

攻撃者によって細工されたBrotli圧縮データを処理した場合、任意のコードを実行されたり、機微な情報を窃取されたり、サービス運用妨害（DoS）状態を引き起こされる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。

Node.js Brotli decoder out-of-bounds write permits remote code execution (CVE-2026-111497) - (high)

Node2Shell evolves to HTTP2Shell. Brotli flaw (CVE-2026-111497) blast radius affects many libraries & apps using HTTP.

JPCERT 緊急報告

JPCERT-AT-2026-0034
BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

2026/10/26

［関連文書］を更新しました

JVN

HOME

JVNとは

脆弱性レポートの読み方

脆弱性レポート一覧

VN_JP

VN_JP（連絡不能）

VN_VU

VN_TA

TRnotes

JVN iPedia

MyJVN

JVNJS/RSS

ベンダ情報一覧

連絡不能開発者一覧

脆弱性情報の届出

お問合せ先