Brotliの脆弱性の確認方法、PythonとNode.jsで対象かを確かめて直す（CVE-2026-111497、コード実行のおそれ）

CVEの記録（採番機関はGoogle）によると、展開処理（c/dec/decode.c）の不備で、認証のない遠隔の攻撃者が細工した圧縮データを送ると、展開の状態を持つメモリの破壊、メモリ内容の漏えい、サービス停止、場合によっては任意のコード実行につながるおそれがあります。対象は1.0.3〜1.2.0で、修正版は1.0.10・1.1.1・1.2.1です。Googleは日本時間の10月22日早朝にこの3つを公開しました。[1][4]

深刻度は、Googleの評価でCVSS 4.0の9.2、NVDの評価でCVSS 3.1の9.8です。米CISAは10月27日（米国時間）、この脆弱性を「Google Brotli」としてKEVに追加しました。[1][2][3]

問題が起きるのは圧縮データを展開するときで、圧縮するだけの使い方は対象の記載がありません。[1][2][5][8][13]

直接入れた覚えがなくても、他のパッケージの依存で入っていることがあります。たとえばurllib3は、brotliかbrotlicffiが入っていると、Brotliで圧縮された応答を展開します。requestsなどurllib3を使うライブラリも同じ経路を通ります。[11]

外部のデータを展開する経路は、アプリが直接呼ぶ場合に限りません。Node.js組み込みのfetch()はBrotliで圧縮された応答をnode:zlibで展開し、Express 5が使うbody-parser 2は、Brotliで圧縮された要求の本文を初期設定で展開します。[12][17]

米国のCISAは2026年10月27日、CVE-2026-111497を「悪用が確認された脆弱性の一覧（KEV）」に追加しました。実際の攻撃で使われていることを示すため、優先して対応します。

CVEの記録に参考として載るセキュリティ会社ELLIOによると、PoCは公開されていて、ELLIOはそれを写した攻撃の通信を10月26日（協定世界時）に観測しました。当社はPoCを検証していません。今後30日に悪用される見込みの推定（EPSS）は82.6%です（10月31日時点）。[15][16]

悪用が確認された脆弱性は、更新に加えて、更新前に攻撃を受けていないかを確認します。

1. 公開していた期間のWebサーバー・アプリケーションのログで、異常終了や不審な要求がないか確認します。
2. 見覚えのないファイル（Webシェルなど）や、設定・アカウントの変更がないか確認します。
3. サーバーから見覚えのない宛先への通信がないか確認します。
4. 痕跡が見つかった場合は、ログや機器の状態を保全し、専門の窓口に相談します。

言語ごとに、Brotliがどの形で入っているかと、修正版が次のとおり違います。[1][2][5][8][13]

1. Pythonで、brotliとbrotlicffiの版を確かめます。表示の「Required-by」に、そのパッケージを必要としている別のパッケージが出ます。

   ターミナル

   python -m pip show brotli brotlicffi

2. ロックファイルに古い版が固定されていないかも確かめます。

   ターミナル

   grep -i -n "brotli" requirements*.txt poetry.lock uv.lock

3. brotliは1.2.1以上、brotlicffiは1.2.1.0以上に上げます。ロックファイルを使っている場合は、ロックファイルも更新します。

   ターミナル

   python -m pip install --upgrade "brotli>=1.2.1" "brotlicffi>=1.2.1.0"

4. Node.jsは本体の版を確かめます。22系は22.23.4、24系は24.22.1、26系は26.12.1以上なら修正済みです。process.versions.brotliの表示では判断しません。

   ターミナル

   node -v

5. OSのパッケージでBrotliを入れている場合（Debian・Ubuntuの例）は、パッケージの版を配布元の告知と照らし合わせます。

   ターミナル

   dpkg -l 'libbrotli*' 'python3-brotli*'

6. 更新後は、アプリやコンテナのイメージを作り直して再起動し、動いている環境の中でもう一度版を確かめます。

   ターミナル

   docker exec <コンテナ名> node -v
   docker exec <コンテナ名> python -m pip show brotli brotlicffi

回避策を示しているのは、確認した一次情報では.NETだけです。Microsoftは、ASP.NET CoreとHttpClientは初期設定ではBrotliを自動で展開しないと説明し、更新まで信頼できないBrotliデータを展開しないこと、使っている場合は展開の設定からbrを外すことを示しています。[13]

Python・Node.js・Googleの告知には回避策がありません。条件から見ると、外部から受け取ったBrotliデータを展開しなければ影響の経路から外れます。body-parserには圧縮された本文を拒否するinflate: falseの設定がありますが、これは当社の整理で、提供元がこの脆弱性の回避策として示したものではありません。[12]

GitHub Advisoryは、PyPIのbrotli（1.0.3以上1.2.1未満）とbrotlicffi（1.0.3以上1.2.1.0未満）を対象としています。PyPIのbrotliには1.1.1や1.0.10が無く、修正版は1.2.1だけです。1.2.1は10月22日（日本時間）にPyPIへ公開されました。[8][9]

brotlicffi 1.2.1.0では、圧縮データの後ろに余分なバイトがあると例外を出すように変わりました。これまで通っていた入力が失敗する場合があるので、更新後に動作を確かめます。[10]

OSのパッケージ（Debianのpython3-brotliなど）で入れた場合は、OSのBrotliが更新対象です。DebianはBrotliの修正を元の番号のまま取り込み、bookwormでは1.0.9-2+deb12u1、trixieでは1.1.0-2+deb13u1が修正済みです。番号の頭だけで判断せず、配布元の告知の版と照らし合わせます。[14]

Node.jsは10月21日（日本時間）に22.23.4・24.22.1・26.12.1を公開しました。公式の告知は、node:zlibで外部のBrotliデータを展開するアプリで、異常終了、メモリの漏えい、遠隔からのコード実行につながるおそれがあるとしています。重要度はNode.jsの評価で「High」です。[5]

Node.jsはGoogleの修正だけを取り込んでいて、同梱のBrotliの番号は変えていません。修正版でもprocess.versions.brotliは22系で1.1.0、24系・26系で1.2.0と表示されます。判断にはNode.js本体の版を使います。[6][7]

20系などサポートが終わった系列について、告知は「サポートが終わった版は常に影響を受ける」としていて、修正版はありません。22・24・26のいずれかへ移ります。公式の告知に回避策の記載はありません。[5]

脆弱性の公表・更新一覧で、Pythonの関連情報を調べることもできます。