脅威動向 2026-10-25（日）配信

⚠️ [継続注意] Brotliデコーダーの脆弱性、Node.jsやPython等に影響

📰 過去報告：10/23, 10/24

GoogleのBrotliデコーダーにメモリ破損の脆弱性（CVE-2026-111497）が存在し、Node.jsやBun、Pythonパッケージ、Envoyなどの多くのプログラムに影響を及ぼしていることが判明しました。細工された圧縮データ処理により、クラッシュやリモートコード実行につながるおそれがあります。

10/24 報告のBrotliデコーダーの脆弱性（CVE-2026-111497）について、Node.jsに加えBunやPythonパッケージ、Envoyなど多くのプログラムに影響することが判明しました。

脅威の概要

GoogleのBrotliデコーダー（Cライブラリ）に存在するメモリ破損の脆弱性（CVE-2026-111497）です。Brotli形式の圧縮データを展開するNode.js、Bun、PythonのBrotli関連パッケージ、Envoyなどの各種ソフトウェアに影響し、細工されたデータによってプログラムのクラッシュやリモートコード実行を引き起こすおそれがあります。

主要なTTP

細工された圧縮データの送信によるバッファオーバーライトとメモリ破損

クラッシュ、メモリリーク、または攻撃者が制御するコードの実行

対象となる組織・利用者

Google Brotliデコーダーを取り込んで使用しているソフトウェア（Node.js、Bun、Envoy、Istio、PythonのBrotliパッケージ等）を運用している組織。

推奨される防御アクション

各影響製品（Node.js、Bun、Envoy、Python Brotliパッケージ等）の修正済みバージョンへアップデートする

アップデート後にサービスを再起動し、コンテナイメージを再ビルドする

アップデートが困難な場合は、信頼できないBrotliデータのデコードを停止する（受信リクエストの Content-Encoding: br の拒否や、HTTP クライアントでの自動デコード無効化など）

出典：https://thehackernews.com/2026/10/brotli-decoder-flaw-behind-nodejs-rce.html

CVE-2026-111497 の経緯（4号）