Node2Shell がHTTP2Shellに拡大、多数のHTTPライブラリに影響
原題: Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
なぜ重要か
Brotliは現代のHTTP通信に広く組み込まれており、パッチ未提供のまま放置されると言語・プラットフォームを問わず大規模なRCE被害につながりうる。
2026年10月21日にNode.jsで開示されたBrotli圧縮ライブラリの脆弱性「CVE-2026-111497（Node2Shell）」が、翌22日にPython、23日には他の主要言語やHTTPを使用するサービスアプリにも影響することが判明した。攻撃者が制御するBrotliデータを展開するプロセスで、メモリリークや任意コード実行が可能になる。パッチはまだ広く提供されていない。
Googleが開発したBrotli圧縮ライブラリに深刻な脆弱性が発見され、その影響範囲が急速に拡大している。
10月21日（水）、Node.jsがCVE-2026-111497を開示した。攻撃者が制御するBrotliデータを展開するNode.jsプロセスにおいて、メモリリークまたは任意コードの実行が可能になる。この脆弱性は「Node2Shell」と命名された。
翌22日（木）にはPythonも同じCVEの影響を受けることが明らかになり、23日（金）にはさらにその「爆発半径（blast radius）」が拡大。HTTPを利用する複数の主要言語やサービスアプリにも影響が及ぶことが判明し、脆弱性は「HTTP2Shell」とも呼ばれるようになった。現時点では、影響を受けるすべてのライブラリやアプリケーションに対してパッチが提供されているわけではない。
BrotliはHTTP通信におけるコンテンツ圧縮で広く採用されており、影響範囲の特定が難しい状況だ。セキュリティ企業Aikidoは、開発者に対して自身のプロジェクト内でBrotliをデコードする依存関係がないか確認するよう呼びかけている。
対処法として、パッチが提供されているライブラリは速やかに更新すること、パッチがまだ存在しない場合はBrotliデコードを無効化することを推奨している。今後さらなる公式発表が予定されており、引き続き注意が必要な状況が続いている。