--- title: "圧縮ライブラリ「Brotli」の脆弱性CVE-2026-111497、.NETにも緊急更新。Node.jsではリモート実行の恐れ、修正コードは8か月前から公開状態だった" description: "Microsoftは2026年10月25日、圧縮形式Brotliのデコーダーの脆弱性CVE-2026-111497に対応するため、.NET 8/9/10向けの帯域外セキュリティ更新を公開した。同じ欠陥はNode.jsなど幅広いソフトに及び、攻撃の試行も報じられている。対象範囲と更新方法、修正コードが公表されないまま8か月置かれていた経緯を整理する" url: https://itpostjp.com/security/brotli-cve-2026-111497-dotnet-oob-update/ category: "セキュリティ" published_at: 2026-10-29T03:19:00Z updated_at: 2026-10-29T03:19:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["CVE（共通脆弱性識別子）", "バッファオーバーフロー", "脆弱性"] --- # 圧縮ライブラリ「Brotli」の脆弱性CVE-2026-111497、.NETにも緊急更新。Node.jsではリモート実行の恐れ、修正コードは8か月前から公開状態だった IT Post編集部 ＆ 編集長 千田智也 Microsoftは2026年10月25日、圧縮形式Brotliのデコーダーの脆弱性CVE-2026-111497に対応するため、.NET 8/9/10向けの帯域外セキュリティ更新を公開した。同じ欠陥はNode.jsなど幅広いソフトに及び、攻撃の試行も報じられている。対象範囲と更新方法、修正コードが公表されないまま8か月置かれていた経緯を整理する ## 30秒で分かる結論 - 圧縮形式Brotliのデコーダー（展開処理）に、境界外への書き込みが起きる脆弱性CVE-2026-111497が見つかりました。Microsoftは2026年10月25日、.NET 8、9、10と.NET 11 RC3向けに、通常の月例とは別の帯域外（OOB）セキュリティ更新を公開しています。 - この欠陥は.NETだけの話ではありません。Node.jsでは、細工したBrotliデータを展開させるとメモリ破壊からリモートコード実行に至る恐れがあるとされ、修正版が公開済みです。Brotliを使う他のランタイムやソフトも対象になり得ます。 - .NETでの影響は、Brotli圧縮データを処理する経路に限られます。自前アプリの更新方法は形態ごとに異なり、自己完結型アプリは再ビルドが必要です。 ## まず初めに 圧縮の仕組みは、地味だが家全体を支える基礎のような部材である。その基礎の「ほどく」工程に穴が開いていた、というのが今回の話だ。しかも修正コード自体は今年2月にリポジトリへ入っていたのに、リリースも勧告もないまま8か月、誰でも読める場所に置かれていたという。攻撃者にとっては「答え合わせ付きの問題集」を先に渡されたようなもので、守る側にとっては最悪の時間の使い方である。派手なゼロデイより、こういう静かな放置のほうが、よほど腹立たしいと思う。 ※個人の感想です ## 脆弱性の中身 CVE-2026-111497は、.NETにおけるBrotliの展開（解凍）アルゴリズムに存在するバッファーオーバーフローの脆弱性です。Microsoftによると、認証されていない攻撃者がプロセスのメモリを読み取ったり破壊したりできる可能性があり、情報の漏えい、サービス拒否、権限の昇格につながる恐れがあります。 この欠陥の本体は、.NET固有ではなくBrotliのデコーダー側にあります。Node.jsのメンテナーは、node:zlibで攻撃者が用意したBrotliデータを展開するアプリケーションについて、プロセスメモリの破壊によってクラッシュやメモリ漏えい、リモートコード実行が起こり得ると説明しています。海外のセキュリティ報道では、この脆弱性は「Node2Shell」などの別名でも呼ばれています。 ![CVE-2026-111497の対象と、.NET向け更新版の対応表](/images/articles/brotli-cve-2026-111497-dotnet-oob-update-inline-1.webp) ## .NETで影響を受ける条件 Microsoftによると、影響を受ける可能性があるのは、Brotli圧縮データを処理するアプリケーションです。具体的には、ASP.NET Coreのリクエスト展開、HttpClientの自動応答展開、System.IO.CompressionのBrotli APIを通じた処理が挙げられています。ただし、リクエスト展開と自動応答展開は、既定では有効になっていない、とMicrosoftは注記しています。.NET Frameworkは対象外です。 10月25日の帯域外更新は、Brotliの脆弱性に加え、Linux向けtarballの所有権メタデータに関する脆弱性CVE-2026-114148の修正も含みます。あわせて、10月13日の更新で完全には対処できていなかった2件の脆弱性（CVE-2026-70197、CVE-2026-102870）についても、修正を含む形でアドバイザリが再公開されました。 ## 更新版と適用方法 .NETの更新版は、.NET 8が8.0.33、.NET 9が9.0.22、.NET 10が10.0.14、.NET 11はRelease Candidate 3です。Microsoftは、できるだけ早く更新するよう勧めています。 適用方法はアプリの形態で異なります。フレームワーク依存型のアプリは、対象バージョンの更新済みランタイムをインストールして再起動します。自己完結型のアプリは、更新済みランタイムで再ビルドして再公開する必要があり、ホスト側のランタイムを新しくしても同梱分は更新されません。コンテナで動かしている場合は、更新済みの.NETコンテナイメージで再構築と再デプロイが必要です。インストール済みのランタイムは「dotnet --list-runtimes」で確認できます。 ## Node.jsなど、.NETの外側の広がり Help Net Securityの報道によると、この脆弱性はNode.jsが2026年10月21日に公表したことで広く知られるようになりました。Brotliが同梱されるNode.jsでは、26.x、24.x、22.xの各系統が影響を受け、修正版として26.12.1、24.22.1、22.23.4が公開されています。サポート終了済みの20.x、23.x、25.xも影響を受けますが、修正は提供されません。 Tenableの研究者は、脆弱なBrotliデコーダーで攻撃者が制御できるデータを展開するあらゆるアプリケーションが潜在的にリスクにさらされると指摘しており、対象例としてBun、Envoy Proxy、Istio、PythonのHTTPクライアント、FFmpeg、Apache Arrow、ClickHouseなどが挙げられています。多くのプロジェクトはすでに対応済みのリリースを出しており、Linuxディストリビューションも修正パッケージの提供を進めています。またSecurityWeekは、米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）が悪用への警告を出し、ハニーポットで攻撃の試行が記録されていると報じています。 なお、修正そのものは、google/brotliのリポジトリに2026年2月27日にコミットされていたものの、リリースもアドバイザリもないまま、8か月にわたって公開状態で読める状況だった、と同報道は伝えています。修正を含むBrotliの版（1.2.1、1.1.1、1.0.10）が公開されたのは先週のことです。 ## 初心者が知っておくべきこと Q. Brotliとは何ですか。 A. Googleが開発したオープンソースのデータ圧縮の仕組みです。Webの通信や多くのソフトの内部で、データを小さく縮める・元に戻す処理に使われています。今回問題になったのは「元に戻す（展開する）」側の処理です。 Q. 一般の利用者は何かする必要がありますか。 A. 個人が単体で使うブラウザやアプリについては、各提供元の更新を適用するのが基本です。自分でサーバーやアプリを運用している場合は、使っている.NETやNode.jsの版を確認し、修正版へ更新してください。特に、外部から届いた圧縮データを自動で展開する仕組みは優先度が上がります。 Q. 「帯域外（OOB）更新」とは何ですか。 A. 月例などの定期スケジュールとは別に、緊急で出される更新のことです。今回Microsoftがこの形式を選んだのは、悪用の可能性が報じられる中、定期更新まで待たせるべきではないと判断したためとみられます。 ## IT Postの見方——問題は欠陥そのものより「8か月の空白」 IT Postでは、今回いちばん重く見るべきなのは、脆弱性の深刻さそのものよりも、修正が存在したのに利用者へ届かなかった8か月の空白だと考えます。圧縮ライブラリのような基盤部品は、組み込む側が個別にリポジトリの差分を監視して自衛するのは現実的ではない。修正を入れた時点で、版番号と勧告をセットで出す——この当たり前の工程が抜けただけで、世界中のランタイムが一斉に「直し方を知らないまま」危険な期間を過ごすことになる。 守る側ができる教訓は単純だ。第一に、基盤ライブラリの脆弱性は「自分のアプリの欠陥」として扱い、ランタイムごと更新する。第二に、自己完結型の配布は、配った瞬間からランタイムの更新責任も一緒に配っていることを忘れないことだ。便利な同梱は、脆弱性の同梱でもある。 ※個人の感想です ## 今後どうなりそうか Brotliを組み込む各プロジェクトとLinuxディストリビューションの修正版の出そろい具合が焦点です。攻撃の試行が観測されている以上、未更新の環境から順に狙われる展開が想定されます。 IT Postでは、各ランタイムの修正状況に大きな進展があれば本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [.NET October 2026 Out-of-Band Security Updates](https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/) — Microsoft（.NET Blog）（一次情報） - [Brotli bug reaches far beyond Node.js (CVE-2026-111497)](https://www.helpnetsecurity.com/2026/10/27/node2shell-broccoli2shell-vulnerability-cve-2026-111497/) — Help Net Security - [CISA Warns of Node2Shell Exploitation as Honeypots Log Attack Attempts](https://www.securityweek.com/cisa-warns-of-node2shell-exploitation-as-honeypots-log-attack-attempts/) — SecurityWeek ## この記事に出てくるIT用語 - [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。 - [バッファオーバーフロー](https://itpostjp.com/terms/buffer-overflow/): プログラムが用意した記憶領域を超えるデータが書き込まれ、誤動作や不正な操作につながる不具合です。 - [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/brotli-cve-2026-111497-dotnet-oob-update/