Brotli デコーダの境界外書き込み（Node2Shell）Node.js・.NET に影響（KEV・悪用確認）

Critical（CVSS 9.2）に分類されるGoogle Brotli（1.0.3〜1.2.0 のデコーダ。同梱する Node.js・.NET・PyPI brotli / brotlicffi を含む）の脆弱性です。**圧縮形式 Brotli のデコーダ（c/dec/decode.c）に、細工した圧縮データを展開させるだけで隣接メモリを書き換えられる欠陥がある。** NVD によれば対象は Google Brotli 1.0.3〜1.2.0 で、認証不要の遠隔の攻撃者が、メモリ内容の漏えい、サービス停止、場合によっては任意コード実行を起こせる。Node.js の告知によれば、不正なブロック切り替えを「入力不足」として扱ってしまい、ストリーミング展開が8バイトの内部バッファへ書き続けるのが原因で、「Node2Shell」の名で報じられている。 **影響する場所。** Brotli は多くの製品に同梱されている。Node.js は 22 / 24 / 26 系が影響を受け（重大度 High）、`node:zlib` の Brotli 展開や `fetch()` のレスポンス展開、`Content-Encoding: br` の要求本文を展開するフレームワーク（Express 5 / body-parser 2.x など）が攻撃の入口になり得る。Microsoft は .NET 8 / 9 / 10 も影響を受けるとして修正版を出した（.NET Framework は対象外）。PyPI の brotli / brotlicffi も 1.2.1 未満が対象。 **悪用と評価値。** CISA は2026年10月27日に KEV へ収載した（是正期限 **2026年11月10日**）。CVSS は Google（CNA）の CVSS 4.0 で **9.2 Critical**。NVD の分析は Undergoing Analysis（NVD 独自の採点は未付与）。Red Hat は CVSS 3.1 で 8.1（Important）、Amazon Linux も 8.1（Important）としており、評価は分かれている。

**Brotli を使う全ての実行環境を修正版へ上げる。** Brotli 本体は 1.0.10 / 1.1.1 / 1.2.1 が修正版（NVD・Google）。Brotli を自前で抱えている製品は、それぞれの更新が要る。 - **Node.js**: 22.23.4 / 24.22.1 / 26.12.1 以降（2026年10月21日公開）。コンテナは古いタグに固定したままだと直らないので、ベースイメージを更新して再ビルドする。サポートの切れた 20.x 以前・23.x・25.x には修正が出ない - **.NET**: ランタイム 8.0.33 / 9.0.22 / 10.0.14 以降。NativeAOT で発行したアプリは、マシンのランタイムを上げても直らないので、修正版のパッケージで発行し直す（Microsoft の告知） - **Python**: brotli 1.2.1 以降、brotlicffi 1.2.1.0 以降 - **OS のパッケージ**: 各ディストリビューションの brotli（libbrotli）を更新する。Red Hat によれば、RHEL の Node.js や .NET は版によってシステムの brotli を使うものと同梱のものがあり、両方を更新する必要がある **すぐ上げられない場合。** Node.js の告知に回避策の記載は無い。要求本文の展開経路だけは、リバースプロキシやロードバランサで `Content-Encoding: br` の要求を拒否すれば塞げる（aikido の解説）。ただし、アプリが外部から取得するレスポンスの展開は防げない。 **完了条件**は、（1）Node.js・.NET・Python・OS の brotli が全て修正版であること、（2）コンテナイメージと NativeAOT のバイナリを作り直したこと、の2点である。

Google Brotli（1.0.3〜1.2.0 のデコーダ。同梱する Node.js・.NET・PyPI brotli / brotlicffi を含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-111497）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。