2026年10月27日　株式会社EggAI　セキュリティ研修事業部

Brotliの脆弱性の注意喚起：今日確かめたい3点

10月26日、JPCERT/CC が BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）について注意喚起を出しました。細工されたBrotli形式の圧縮データを展開すると、アプリケーションの異常終了、メモリ上の情報の漏えい、任意のコード実行につながるおそれがあり、影響を受ける製品にはNode.js、Bun、Python向けBrotliパッケージなどが含まれます。自社で今日確かめたい3点をまとめました。

1. Brotliを使っているか確かめる

   対象は、Brotli v1.2.0以上v1.2.1より前、v1.1.0以上v1.1.1より前、v1.0.3以上v1.0.10より前です。自社のサーバーや業務のシステムの一覧から、Node.js、Bun、Python向けBrotliパッケージなどを使っているものを書き出し、含まれるBrotliのバージョンを確かめます。委託先が運用しているシステムがあれば、あわせて問い合わせます。

2. 修正済みバージョンを当てる

   Googleは修正済みバージョンを公開しており、JPCERT/CC は速やかに適用するよう呼びかけています。適用前には十分なテストをするよう書かれているので、テストと更新の順番と担当を決めます。Googleは緩和策を出していないため、Brotliを組み込んだ製品は、各開発者の更新や緩和策の情報を確かめます。

3. 入られた跡がないか調べる

   JPCERT/CC は、対策の適用とあわせて侵害の有無を調べるよう求めています。ページには具体的な調べ方は書かれていないため、対象のシステムごとに、開発元の情報に沿って確かめます。だれがいつまでに調べるかも決めておきます。

対象の製品やバージョン、対策の詳しい手順は、JPCERT/CC の注意喚起と開発元の情報で確かめてください。