本文へ移動
華啓未来 華啓未来株式会社
お問い合わせ

速報解説

Brotliの重大な脆弱性「HTTP2Shell」、AIが見つけた穴が連鎖する

結論から言うと、Node.jsやPythonで作ったサイトや連携システムがある会社は、今週中に制作会社へBrotliの脆弱性（CVE-2026-111497）への対応状況を確認してください。今回の穴は圧縮データを元に戻す部分にあり、遠隔からのプログラム実行につながるおそれがあります。本文の事実は、Brotli公式、OpenAI、Aikido Securityなどの原文を2026年10月26日に確認したものです。

公開 2026年10月26日

1. 何が起きたか

Googleが開発した圧縮ライブラリ「Brotli」のデコーダー（圧縮データを元に戻す部分）に、メモリを壊して遠隔からプログラムを実行されるおそれのある脆弱性（CVE-2026-111497）が見つかりました。影響を受けるのはv1.0.3からv1.2.0で、深刻度を示すCVSS 4.0の基本値は9.2（Critical）です（窓の杜の報道（Yahoo ニュース配信））。Brotliの開発元は2026年10月21日、修正を含むv1.2.1、v1.1.1、v1.0.10を公開しました（Brotli公式リリース）。

発見にはAIが関わっています。OpenAIは10月23日、社内のレッドチーム演習の中でBrotliの脆弱性を見つけたと公表しました。認証なしで悪用でき、未修正のサーバーは悪意あるクライアントに、未修正のクライアント（例として「curl --compressed」）は悪意あるサーバーに乗っ取られうると説明しています。根本原因のコードは2月に直されていたものの、そのときは脆弱性だと分かっておらず、新しいリリースも出ていなかったとのことです（OpenAIのX投稿）。

2. 影響が広がっている

セキュリティ企業Aikido Securityによると、Node.jsは10月21日に更新を出し、サポート中のすべての系列に問題があったほか、Bunもv1.4.4までは同じ問題を抱えていました。当初は「Node2Shell」と呼ばれましたが、10月23日までにPythonのパッケージなどHTTPを扱う他の言語やアプリにも及ぶことが分かり、「HTTP2Shell」の呼称が使われ始めています。まだ修正版が出そろっていない製品もあり、同社は、修正がないライブラリやアプリではBrotliの展開を止めることを勧めています。ApacheとNginxは初期設定ではBrotliを展開しないとも書いています（Aikido: Node2Shell、Aikido: HTTP2Shell）。

3. なぜ中小企業に関係するのか

Brotliは、ホームページやネットショップの表示を速くするためのHTTP通信の圧縮に使われています。自社でプログラムを書いていなくても、予約システム、決済や在庫の連携、Webhookの受け口など、制作会社や外部サービスが作った部品の内部に入っている可能性があります。ここに「どの部品が中で何を使っているか」を把握していない会社ほど、確認に時間がかかります。

当社の見方 今回の件で見ておくべきなのは、穴そのものより「AIが見つけた古い欠陥が、数日でライブラリ、言語、アプリへと連鎖する」速度です。PHP2Shellに続いて1週間もたたないうちに2件目が出ており、更新を誰も担当していない会社は、確認を後回しにした日数だけ、乗っ取りの危険にさらされます。自社のサイトやシステムが何で動いているかの一覧を持ち、制作会社と更新の連絡経路を決めておくかどうかで、次の同種の件への対応時間が変わると当社は考えます。

4. 中小企業がいま確認すること

  • 制作会社・保守会社に「BrotliのCVE-2026-111497に対応済みか」を聞き、Node.js、Bun、Pythonなどを使う自社のサイトや連携システムを洗い出してもらう
  • Node.jsを使っているシステムは、2026年10月21日以降に出た修正版へ更新されているか、バージョンを確認してもらう
  • Pythonで作った業務システムがある場合は、PyPIのBrotliパッケージが修正版かを確認してもらう（GitHubの注意情報が出ています）
  • 修正版がまだない部品は、Brotliの展開を一時的に止められるか、止めた場合の影響とあわせて相談する
  • 外部のURLを呼び出す機能（Webhook、外部連携）は、悪意あるサーバーからの返信が入り口になりうるので、優先して見てもらう

当社の展望

AIが古いコードの欠陥を見つける速度は、これからさらに上がると当社は見ています。PHP2Shellに続く今回の件で、OpenAIのような開発側がAIで穴を探し、下流の製品が追いかけて更新する流れが続くことが想像できます。6〜24か月のうちに、取引先や発注元が「ソフトウェアの更新体制」を取引の条件として尋ねる場面が増えると当社は考えます。更新の担当と連絡先、使っている部品の一覧を今のうちに整えておくことが、いまが布石を打つ時期という当社の判断です。

この記事に関するよくあるご質問

Brotliの脆弱性（HTTP2Shell）とは何ですか。自社に関係がありますか

Googleの圧縮ライブラリBrotliのデコーダーにある脆弱性（CVE-2026-111497）で、深刻度は9.2とされています。Node.js、Bun、Pythonのパッケージなどが影響を受け、修正版が10月21日以降順次出ています。自社でNode.jsやPythonを使うシステムがあるか、制作会社に確認してください。

HTTP2ShellはWordPressやレンタルサーバーのサイトにも影響しますか

本記事で原文を確認できたのは、Node.js、Bun、Pythonのパッケージ、Envoyなどです。ApacheとNginxは初期設定ではBrotliを展開しないとAikidoが書いています。WordPress自体への影響は今回確認できていないため、利用中のサービス会社の発表を確認してください。

参考

  1. Google Brotli: v1.2.1 release notes (GitHub)github.com
  2. OpenAI: X post on the Brotli vulnerability (2026-10-23)x.com
  3. Aikido Security: Node2Shell: Node.js Brotli vulnerability allows remote code execution (CVE-2026-111497)aikido.dev
  4. Aikido Security: Node2Shell evolves to HTTP2Shellaikido.dev
  5. 窓の杜: Googleの圧縮形式「Brotli」に深刻な脆弱性「HTTP2Shell」news.yahoo.co.jp

関連する Q&A

関連するサービス

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ