脅威動向 2026-10-24（土）配信

🔄 [続報] Node.jsのBrotliデコーダにRCE脆弱性「Node2Shell」

📰 過去報告：10/23

Impervaの研究者が、Node.jsに同梱されているBrotliデコーダの脆弱性（CVE-2026-111497）を悪用し、公式ビルドでリモートコード実行（RCE）を行う実証コード「Node2Shell」を公開しました。Node.jsは10月21日に修正版をリリースしており、該当する環境ではアップデートが推奨されます。

10/23 に報告した脆弱性（CVE-2026-111497）に関する続報です。

脅威の概要

Node.jsにバンドルされているBrotliデコーダの処理不備（CVE-2026-111497）により、細工されたBrotli圧縮データを処理させるとバッファ境界外書き込みが発生し、公式ビルド環境においてリモートコード実行（RCE）につながるおそれがあります。Node.js 22.x、24.x、26.xの各ラインが影響を受けます。

主要なTTP

細工されたBrotli圧縮データの送信によるデコーダの不正状態への誘導

バッファ境界外書き込みを通じたリモートコード実行

対象となる組織・利用者

Node.js 22.x、24.x、26.xを使用しており、信頼性の低いBrotli圧縮データ（HTTPリクエストボディや外部からのレスポンス等）をデコードするアプリケーションを運用している組織。

推奨される防御アクション

Node.jsを修正版（24.x等）にアップデートする

コンテナイメージやNodeバイナリを同梱する成果物のバージョンを確認し更新する

サポートが終了したNode.js 20.x以前のラインからサポート対象のラインへ移行する

出典：https://thehackernews.com/2026/10/researchers-demonstrate-node2shell-rce.html

CVE-2026-111497 の経緯（4号）