Brotliの脆弱性とは？Windowsユーザーへの影響と確認したい対策

Brotli（ブロトリ）について調べていると、脆弱性や攻撃に関する情報を目にすることがあります。「自分のパソコンにも影響するの？」と気になっている方もいるのではないでしょうか。

Brotliは、Webサイトのデータを小さくして送るための圧縮方式です。今回問題になったのは、Brotliそのものを使うことではなく、一部の古いBrotliデコーダー（圧縮データを元に戻す部分）に見つかった脆弱性です。

このページでは、Brotliの脆弱性「CVE-2026-111497」の内容、Windowsパソコンへの影響、一般の利用者が確認したい対策を初心者向けに説明します。

Brotli（ブロトリ）とは？

BrotliはGoogleが開発したデータ圧縮方式です。WebページのHTML、CSS、JavaScriptなどを小さくして送信し、通信量を抑えたり、ページを表示するまでの時間を短くしたりする目的で使われています。

対応するサーバーとブラウザーの間で自動的に使われるため、通常の利用者が自分でBrotliをインストールしたり、オン・オフを切り替えたりするものではありません。Brotliは圧縮方式の名前で、危険なソフトの名前ではありません。

今回の脆弱性「CVE-2026-111497」とは

2026年10月、BrotliのC言語実装にあるデコーダーで、圧縮データを展開するときにメモリの範囲外へ書き込む可能性がある脆弱性が公表されました。識別番号はCVE-2026-111497です。

脆弱なデコーダーを使うアプリが、攻撃者によって細工されたBrotli形式のデータを処理すると、アプリの異常終了やメモリ上の情報漏えい、条件によってはコード実行につながるおそれがあります。影響を受けるかどうかは、ソフトがどのBrotli部品を使っているか、外部から受け取ったデータをどう展開するかによって異なります。

一部の海外機関は、この脆弱性の悪用が報告されているとして、対象ソフトへの修正適用を呼びかけています。ただし、これは「すべてのWindowsパソコンが攻撃を受けている」という意味ではありません。JPCERT/CCも、影響する製品を使っている場合は、各開発元の情報で対象かどうかと対応状況を確認するよう案内しています。

報道や注意喚起では「Node2Shell」「HTTP2Shell」などの呼び方もあります。名前に「HTTP2」と含まれる場合がありますが、問題の中心はHTTP/2通信そのものではなく、Brotliデコーダーの脆弱性です。

どのようなソフトが影響を受ける可能性がある？

Brotliは多くのソフトやサービスに組み込まれています。JPCERT/CCなどの注意喚起では、Node.js、Bun、Python向けBrotliパッケージなどが例として挙げられています。Microsoftの.NETにも、Brotliデコーダーを使う特定の構成に関する案内があります。

Googleが公開したBrotli本体の修正版には、1.0.10、1.1.1、1.2.1があります。ただし、ソフトによっては修正を独自に取り込んでいるため、画面に表示されるバージョン番号だけで安全かどうかを判断しないでください。各ソフトの開発元が公開する案内を確認することが大切です。

また、Microsoftの.NETに関する案内では、.NET Frameworkは今回の対象ではないとされています。新しい.NETランタイムがパソコンに入っているだけで、直ちに影響を受けるわけでもありません。アプリが対象のデコーダーを使い、攻撃者が用意したデータを展開する構成かどうかが関係します。

Windowsユーザーが確認したい対策

1. Windows Updateを確認する

まず、Windowsの更新を確認します。「設定」→「Windows Update」→「更新プログラムのチェック」の順に開き、利用可能な更新があれば、内容を確認して適用してください。

ただし、Brotliはさまざまなソフトに組み込まれているため、Windows Updateだけで、パソコンに入っているすべてのアプリが更新されるとは限りません。アプリごとの更新も確認しましょう。

[関連記事] Windows 11は今の設定で大丈夫？脆弱性に備えて見直したい7つのセキュリティ設定

2. ブラウザーや普段使うアプリを更新する

Chrome、Microsoft Edge、Firefoxなどのブラウザーは、各ブラウザーの「バージョン情報」画面から更新を確認できます。ほかのアプリも、アプリ内の更新機能または公式サイトから最新版を確認してください。

更新を確認するときは、検索結果に出てきた広告や見知らぬダウンロードサイトではなく、アプリ内の更新機能や公式サイトを使いましょう。更新後に再起動を求められた場合は、作業中のファイルを保存してから再起動します。

[関連記事] Chromeに重大な脆弱性4件！更新方法と「更新中」がまた出るときの対処法

3. Node.jsや.NETを自分で使っている場合は開発元の案内を確認する

Node.js、.NET SDK、PythonのBrotliパッケージなどを自分で使っている方や、社内システム・Webサービスを管理している方は、導入したソフトの公式セキュリティ情報を確認してください。ライブラリをアプリに同梱している場合は、OSを更新するだけでは修正されず、アプリ自体の更新や再ビルドが必要なことがあります。

自分で開発環境を使っていない方は、Node.jsやBrotliの部品を探して手作業で削除する必要はありません。名前の分からないランタイムを削除すると、別のアプリが動かなくなることがあります。

4. WordPressやレンタルサーバーを利用している場合

一般的なWordPressサイトをレンタルサーバーで運営している場合、利用者がWordPressの画面からBrotliを更新するものではありません。WordPress本体、プラグイン、テーマを通常どおり更新し、サーバー側のソフトやライブラリはホスティング会社の案内に従います。

自分でNode.jsや.NETのサービスをサーバー上で動かしている場合は別です。利用中のホスティング会社やアプリの提供元に、CVE-2026-111497への対応状況を確認してください。

よくある質問

Brotliを使っているWebサイトを見ただけで感染しますか？

「Brotliを使っているサイトを見た」というだけで、必ず感染するわけではありません。問題になるのは、脆弱なデコーダーを持つソフトが細工されたデータを展開する場合です。ブラウザーやアプリを最新に保ち、見知らぬ更新ファイルを実行しないようにしましょう。

自分のパソコンにBrotliがあるか探す必要はありますか？

一般の利用者が、パソコン内からBrotliのファイルを探す必要はありません。Brotliはアプリの内部部品として含まれることが多く、ファイル名だけでは影響の有無を判断できません。ソフトの更新を確認してください。

HTTP/2を無効にした方がいいですか？

この脆弱性への対策として、HTTP/2を無効にする必要はありません。呼び名に「HTTP2Shell」が使われることがありますが、問題の原因はBrotliデコーダーです。自己判断で通信設定を変更せず、ソフトの修正版を適用してください。

まとめ：Brotliを削除せず、利用中のソフトを更新

Brotliは、Web通信を効率よくするために広く使われている圧縮方式です。今回公表されたCVE-2026-111497は、一部の古いBrotliデコーダーに関する脆弱性で、Brotliを使うすべてのパソコンやWebサイトが同じように危険になるわけではありません。

一般のWindowsユーザーは、Windows Update、ブラウザー、普段使うアプリの更新を確認しましょう。開発環境やサーバーを管理している場合は、利用中のNode.js、.NET、Brotli関連パッケージについて、各提供元の修正状況を確認してください。

不安になってBrotliらしきファイルを削除したり、HTTP/2を止めたりする必要はありません。公式の更新を適用し、ソフトを最新の状態に保つことが基本です。

参考情報

• JPCERT/CC：BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起
• Google Brotli：リリース情報
• Node.js：2026年10月のセキュリティリリース
• Microsoft .NET：CVE-2026-111497のセキュリティアドバイザリ
• カナダ・サイバーセキュリティセンター：Google Brotliの脆弱性に関する注意喚起

※この記事は2026年11月2日時点で公開されている情報をもとに作成しています。影響範囲や修正状況は、製品の提供元から新しい案内が出た場合に更新してください。

おすすめ関連記事

• Microsoft Windows Desktop Runtimeは削除しても大丈夫？

タグ: セキュリティ, Windows 11, 脆弱性, CVE-2026-111497, Brotli