圧縮ライブラリ「Brotli」の脆弱性CVE-2026-111497、.NETにも緊急更新。Node.jsではリモート実行の恐れ、修正コードは8か月前から公開状態だった

まず初めに

圧縮の仕組みは、地味だが家全体を支える基礎のような部材である。その基礎の「ほどく」工程に穴が開いていた、というのが今回の話だ。しかも修正コード自体は今年2月にリポジトリへ入っていたのに、リリースも勧告もないまま8か月、誰でも読める場所に置かれていたという。攻撃者にとっては「答え合わせ付きの問題集」を先に渡されたようなもので、守る側にとっては最悪の時間の使い方である。派手なゼロデイより、こういう静かな放置のほうが、よほど腹立たしいと思う。

※個人の感想です

脆弱性の中身

CVE-2026-111497は、.NETにおけるBrotliの展開（解凍）アルゴリズムに存在するバッファーオーバーフローの脆弱性です。Microsoftによると、認証されていない攻撃者がプロセスのメモリを読み取ったり破壊したりできる可能性があり、情報の漏えい、サービス拒否、権限の昇格につながる恐れがあります。

この欠陥の本体は、.NET固有ではなくBrotliのデコーダー側にあります。Node.jsのメンテナーは、node:zlibで攻撃者が用意したBrotliデータを展開するアプリケーションについて、プロセスメモリの破壊によってクラッシュやメモリ漏えい、リモートコード実行が起こり得ると説明しています。海外のセキュリティ報道では、この脆弱性は「Node2Shell」などの別名でも呼ばれています。

.NETで影響を受ける条件

Microsoftによると、影響を受ける可能性があるのは、Brotli圧縮データを処理するアプリケーションです。具体的には、ASP.NET Coreのリクエスト展開、HttpClientの自動応答展開、System.IO.CompressionのBrotli APIを通じた処理が挙げられています。ただし、リクエスト展開と自動応答展開は、既定では有効になっていない、とMicrosoftは注記しています。.NET Frameworkは対象外です。

10月25日の帯域外更新は、Brotliの脆弱性に加え、Linux向けtarballの所有権メタデータに関する脆弱性CVE-2026-114148の修正も含みます。あわせて、10月13日の更新で完全には対処できていなかった2件の脆弱性（CVE-2026-70197、CVE-2026-102870）についても、修正を含む形でアドバイザリが再公開されました。

更新版と適用方法

.NETの更新版は、.NET 8が8.0.33、.NET 9が9.0.22、.NET 10が10.0.14、.NET 11はRelease Candidate 3です。Microsoftは、できるだけ早く更新するよう勧めています。

適用方法はアプリの形態で異なります。フレームワーク依存型のアプリは、対象バージョンの更新済みランタイムをインストールして再起動します。自己完結型のアプリは、更新済みランタイムで再ビルドして再公開する必要があり、ホスト側のランタイムを新しくしても同梱分は更新されません。コンテナで動かしている場合は、更新済みの.NETコンテナイメージで再構築と再デプロイが必要です。インストール済みのランタイムは「dotnet --list-runtimes」で確認できます。

Node.jsなど、.NETの外側の広がり

Help Net Securityの報道によると、この脆弱性はNode.jsが2026年10月21日に公表したことで広く知られるようになりました。Brotliが同梱されるNode.jsでは、26.x、24.x、22.xの各系統が影響を受け、修正版として26.12.1、24.22.1、22.23.4が公開されています。サポート終了済みの20.x、23.x、25.xも影響を受けますが、修正は提供されません。

Tenableの研究者は、脆弱なBrotliデコーダーで攻撃者が制御できるデータを展開するあらゆるアプリケーションが潜在的にリスクにさらされると指摘しており、対象例としてBun、Envoy Proxy、Istio、PythonのHTTPクライアント、FFmpeg、Apache Arrow、ClickHouseなどが挙げられています。多くのプロジェクトはすでに対応済みのリリースを出しており、Linuxディストリビューションも修正パッケージの提供を進めています。またSecurityWeekは、米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）が悪用への警告を出し、ハニーポットで攻撃の試行が記録されていると報じています。

なお、修正そのものは、google/brotliのリポジトリに2026年2月27日にコミットされていたものの、リリースもアドバイザリもないまま、8か月にわたって公開状態で読める状況だった、と同報道は伝えています。修正を含むBrotliの版（1.2.1、1.1.1、1.0.10）が公開されたのは先週のことです。

初心者が知っておくべきこと

Q. Brotliとは何ですか。

A. Googleが開発したオープンソースのデータ圧縮の仕組みです。Webの通信や多くのソフトの内部で、データを小さく縮める・元に戻す処理に使われています。今回問題になったのは「元に戻す（展開する）」側の処理です。

Q. 一般の利用者は何かする必要がありますか。

A. 個人が単体で使うブラウザやアプリについては、各提供元の更新を適用するのが基本です。自分でサーバーやアプリを運用している場合は、使っている.NETやNode.jsの版を確認し、修正版へ更新してください。特に、外部から届いた圧縮データを自動で展開する仕組みは優先度が上がります。

Q. 「帯域外（OOB）更新」とは何ですか。

A. 月例などの定期スケジュールとは別に、緊急で出される更新のことです。今回Microsoftがこの形式を選んだのは、悪用の可能性が報じられる中、定期更新まで待たせるべきではないと判断したためとみられます。

IT Postの見方——問題は欠陥そのものより「8か月の空白」

IT Postでは、今回いちばん重く見るべきなのは、脆弱性の深刻さそのものよりも、修正が存在したのに利用者へ届かなかった8か月の空白だと考えます。圧縮ライブラリのような基盤部品は、組み込む側が個別にリポジトリの差分を監視して自衛するのは現実的ではない。修正を入れた時点で、版番号と勧告をセットで出す——この当たり前の工程が抜けただけで、世界中のランタイムが一斉に「直し方を知らないまま」危険な期間を過ごすことになる。

守る側ができる教訓は単純だ。第一に、基盤ライブラリの脆弱性は「自分のアプリの欠陥」として扱い、ランタイムごと更新する。第二に、自己完結型の配布は、配った瞬間からランタイムの更新責任も一緒に配っていることを忘れないことだ。便利な同梱は、脆弱性の同梱でもある。

※個人の感想です

今後どうなりそうか

Brotliを組み込む各プロジェクトとLinuxディストリビューションの修正版の出そろい具合が焦点です。攻撃の試行が観測されている以上、未更新の環境から順に狙われる展開が想定されます。

IT Postでは、各ランタイムの修正状況に大きな進展があれば本記事を更新します。