CVE-2026-111497｜Brotli（C言語実装）の境界外書き込みの脆弱性

JPCERT/CC は2026年10月26日、データの圧縮形式 Brotli の C 言語の実装にある境界外書き込みの脆弱性（CVE-2026-111497）について注意喚起を出しました。 細工した Brotli の圧縮データを展開すると、アプリケーションの異常終了、メモリ上の情報の漏えい、任意のコードの実行につながるおそれがあるとしています（JPCERT/CC の2026年10月26日の注意喚起）。 Brotli は Web の通信の圧縮で使われており、Node.js・.NET・Python 向けのパッケージなど、Brotli を組み込んだ製品にも影響します。

公表された内容

• 影響を受ける版（Brotli 本体）：v1.2.0 以上 v1.2.1 未満、v1.1.0 以上 v1.1.1 未満、v1.0.3 以上 v1.0.10 未満（JPCERT/CC）
• 修正版：Google が2026年10月21日に v1.2.1・v1.1.1・v1.0.10 を公開。JPCERT/CC は、十分に試したうえで早めに当てることと、侵害の有無を調べることを勧めています。Google による緩和策はなく、Brotli を組み込んだ製品の緩和策は各開発者の情報を確かめるよう案内しています
• Node.js：22.x・24.x・26.x が対象で、深刻度は High。修正版は v22.23.4・v24.22.1・v26.12.1（Node.js の2026年10月21日の発表）。node:zlib で信頼できないデータを展開するアプリケーションが影響を受けるとしています
• .NET：マイクロソフトは2026年10月25日（米国時間）に修正を公開しました。CVSS 基本値は 8.1、重要度は「緊急」。標準のインストールでは影響を受ける機能は既定で有効になっていないとしています（マイクロソフトの発表）
• Python 向けパッケージ：brotli は 1.2.1、brotlicffi は 1.2.1.0 で修正（GitHub Advisory Database。CVSS v4.0 の基本値 9.2）
• 悪用の有無：JPCERT/CC の注意喚起には、悪用の有無の記載はありません。マイクロソフトは「悪用なし」「一般に公開済み」としています

中小企業が今日からできること

• Node.js を使う Web サイト・社内ツールの版を確かめる：制作会社や委託先に、Node.js の版が v22.23.4・v24.22.1・v26.12.1 以降になっているかを問い合わせる
• .NET で動く業務アプリの更新を当てる：Windows Update・Microsoft Update で .NET の更新が入っているかを確かめる。自社で作ったアプリは、開発した会社に影響の有無を確かめる
• Python の brotli パッケージを確かめる：社内で Python を使っているなら、pip list で brotli・brotlicffi の版を確かめ、1.2.1 以降にする
• 使っている製品の会社の発表を見る：Web サーバー・ネットワーク機器・クラウドのサービスで Brotli を組み込んでいる製品は、各社の発表を確かめ、修正版が出たら当てる
• 更新の前後でログを確かめる：JPCERT/CC は侵害の有無の調査も勧めている。公開している Web サービスで、異常終了や見慣れない処理の記録がないかを確かめる