.svg?width=93&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Home"){kind=logo}
.svg?width=7&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Top Navigation - Sign in - Icon")
2026 年 10 月 21 日、Node.js は、Brotli デコーダの脆弱性 (CVE-2026-111497) を含む複数の脆弱性に対処するためのアップデートをリリースしました。この重大なバッファオーバーフローの脆弱性 (CVSSスコア：9.2) は、一般に「Node2Shell」として知られていますが、「Broccoli2Shell」や「HTTP2Shell」とも呼ばれています。この問題は、複数のバージョンの Google Brotli に含まれる Brotli デコーダ (c/dec/decode.c) に存在します。そのため、Brotli を利用している製品全般も影響を受ける可能性があります。この脆弱性の悪用に成功すると、メモリ情報の漏えい、サービス拒否、またはリモートコード実行につながるおそれがあります。
実際の悪用が報告されており、米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) は、10 月 27 日付で CVE-2026-111497 を実際に悪用が確認された脆弱性 (KEV) カタログに追加しました。
推奨される対応
Counter Threat Unit™ (CTU) の調査チームは、使用している脆弱な Brotli ライブラリまたはバイナリを特定し、必要に応じて最新バージョンにアップデートすることを推奨しています。また、自社環境で使用している製品のうち、どの製品が影響を受ける可能性があるかを評価する必要があります。Microsoft や PHP を含む複数のベンダーが、自社製品でこの脆弱性に対処するためのアップデートを公開しています。
ソフォスの対策
SophosLabs は、この脆弱性に関連する攻撃の動向の監視を継続しており、検知ルールや保護機能が利用可能になり次第、提供する予定です。