Brotli脆弱性（HTTP2Shell）の確認と対応方法

公開日2026年10月31日
約11分で読めます

目次9

2026年10月26日、JPCERT/CCは、データ圧縮のしくみ「Brotli（ブロトリ）」の脆弱性 CVE-2026-111497 について注意喚起を出しました。翌27日には、米国のCISAが「実際に悪用が確認された脆弱性」の一覧に加えています。一部では「HTTP2Shell」「Node2Shell」とも呼ばれています。

Brotliは、Node.js、.NET、Python、Linuxなど、多くの仕組みの中に部品として組み込まれています。この記事では、自社が影響を受けるかの見分け方と、対応の手順を順番に説明します。

この記事のポイント

Brotliそのものを入れた覚えがなくても、Node.js・.NET・Python・Linuxの中に入っていることがあります。確かめるのは「Brotliの版」ではなく「それぞれの仕組みの版」です。
Node.js → 22.23.4／24.22.1／26.12.1以降へ。.NET → 8.0.33／9.0.22／10.0.14以降へ。Python → brotli 1.2.1以降へ。
危ないのは、外から届いた圧縮データを「展開する」ときです。自社サイトの表示を圧縮して送っているだけなら、影響はないとされています。
更新したら、プログラムの再起動やコンテナの作り直しまで行いましょう。

9.2

深刻度（CVSS 4.0・緊急）

悪用確認

CISAが10月27日に認定

回避策なし

基本は修正版への更新（JPCERT/CC）

ことばの説明

Brotli＝Googleが作った、データを小さくする（圧縮する）しくみです。Webサイトの表示を速くするためによく使われ、通信では「br」という名前で出てきます。

展開（てんかい）＝圧縮されたデータを、もとの大きさに戻すことです。今回の弱いところは、この「展開」の部分にあります。

脆弱性（ぜいじゃくせい）＝システムの"弱いところ"。悪い人に見つかると、そこから攻撃されるおそれがあります。

どんな脆弱性？なぜ危ないの？

JVN（日本の脆弱性情報サイト）によると、Brotliの展開処理に、決められた範囲の外にデータを書きこんでしまう不具合がありました。細工した圧縮データを読み込ませると、次のようなことが起きるおそれがあります。

プログラムを勝手に動かされる

攻撃者が、サーバーの上で好きな命令を実行できてしまうおそれがあります。

情報をぬすみ見られる

プログラムが使っているメモリの中身が、外にもれるおそれがあります。

サービスが止まる

プログラムが異常終了し、サイトやシステムが使えなくなるおそれがあります。

すでに攻撃が始まっています

CISAは10月27日、この脆弱性を「悪用が確認された脆弱性」に加えました。海外のセキュリティ会社は、10月26日に修正前のNode.js（24.22.0）をねらった攻撃の試みを観測したと報告しています。JPCERT/CCは「回避策はなく、修正版への更新を」と呼びかけています。

どんなときに危ない？「展開する側」かどうかがポイント

弱いところは「展開」の処理だけにあり、「圧縮」の処理にはありません。そのため、自社のシステムが外から届いた圧縮データを展開しているかで、危なさが変わります。

受け取ったデータを展開する要注意

利用者や取引先から送られてくる圧縮データ（br）を、サーバーが自動で展開する設定の場合です。例：Node.jsのExpress 5、Koa、ASP.NET Coreのリクエスト展開を有効にしている場合など。

ほかのサーバーからデータを取りにいく要注意

外部のサイトやAPIから情報を取ってくる機能です。相手のサーバーが細工した圧縮データを返してくるおそれがあります。例：Webhook、URLを入力すると内容を読み込む機能など。

自社サイトの表示を圧縮して送るだけ影響は小さい

圧縮だけで展開はしないため、今回の弱いところは使われないとされています。ただし、同じサーバーで動くほかのプログラムが展開している場合もあるので、更新はしておきましょう。

※「どの機能が、どこからデータを受け取っているか」は、外からは見分けにくいものです。わからなければ、使っている仕組みをすべて更新するのがいちばん確実です。

対象の仕組みと、移る先

Brotli本体の修正版は、1.0.10／1.1.1／1.2.1（10月21日公開）です。ただし多くの場合、Brotliは別の仕組みの中に入っているので、次の表で「使っている仕組みの版」を確かめます。

仕組み	状態	移る先（修正版）	補足
Node.js 22・24・26	要更新	22.23.4／24.22.1／26.12.1以降	10月21日の更新で対応済み
Node.js 20以前	修正版なし	サポート中の版へバージョンアップ	サポート終了のため直りません
.NET 8・9・10	要更新	8.0.33／9.0.22／10.0.14以降	10月25日の臨時更新。.NET 8・9は11月10日にサポート終了
.NET Framework	対象外	—	Microsoftの発表より
Python（brotli）	要更新	brotli 1.2.1／brotlicffi 1.2.1.0以降	requests・httpx・aiohttpなどが自動で使うことがあります
Linux（Ubuntu・Debianなど）	配布元しだい	各配布元の修正済みパッケージ	Ubuntu 22.04／24.04、Debian 12／13は修正版あり

このほか、Bun、Envoy、Istio、Go言語のBrotli部品なども修正版が出ています。Node.jsの今回の更新の全体は「Node.js脆弱性の対応方法（2026年10月）」にまとめています。

Brotliの版番号だけでは判断できません

たとえばNode.jsでは、修正前も修正後も、中に入っているBrotliの版の表示は同じ「1.2.0」のままです。確かめるときは、Node.jsや.NETそのものの版を見てください。

これまでの流れ

2026年10月21日
GoogleがBrotliの修正版を公開。同じ日にNode.jsも修正版を公開
2026年10月22日
CVE番号が公開。Python向けの修正版（brotli 1.2.1）も公開
2026年10月25日
Microsoftが.NETの臨時更新を公開
2026年10月26日
JVN・JPCERT/CCが注意喚起。海外で攻撃の試みが観測される
2026年10月27日
CISAが「悪用が確認された脆弱性」に追加（米政府機関の対応期限は11月10日）

自社が影響を受けるか確かめて、対応する5ステップ

使っている仕組みを洗い出す
自社のWebサイトや業務システムが、Node.js・.NET・Pythonのどれで動いているかを確認します。わからなければ、開発会社や保守会社に聞くのがいちばん早いです。
それぞれの版を確認する
サーバーにログインできる方なら、Node.jsは node -v、.NETは dotnet --list-runtimes、Pythonの部品は pip show brotli で版がわかります。
表と比べて、修正版に更新する
サーバーのOS（Linux）のパッケージも、あわせて更新します。テスト用の環境で、ふだんの業務が動くかを先に確かめると安心です。
再起動・作り直しまで行う
更新しただけでは、動いているプログラムは古いままです。プログラムを再起動し、Dockerなどのコンテナや、ひとつにまとめて配布しているアプリは作り直して入れ替えます。
ログに異常がないか確認する
プログラムが急に止まったり、再起動をくり返したりしていないかを確認します。あやしい点があれば、専門の会社に調べてもらいましょう。