結論
Brotli（ブロトリ）とは、Googleが開発したデータ圧縮の仕組みで、Webの通信やソフトの中で広く使われています。このBrotliに、細工したデータを展開させると外部からプログラムを実行されるおそれのある脆弱性（CVE-2026-111497、Googleの評価で深刻度9.2）が見つかり、Googleは2026年10月21日に修正版を公開しました。Brotliを組み込んだソフトでも、Node.js（10月21日）、Microsoftの.NET（10月25日、定例外の緊急更新）、PHPのWindows版・Git for Windows（10月26日）が相次いで修正版を出しています。これらを使っている場合は修正版に更新してください。PHP2Shellとは別の脆弱性で、10月28日時点で悪用の報告は見当たりません。
10月下旬は、PHPの重大な脆弱性「PHP2Shell」の対応が続くなか、別の脆弱性の修正も重なりました。そのひとつが、データ圧縮の仕組み「Brotli」の脆弱性です。SNSでは「PHP2Shellに関連するBrotliの脆弱性で、Microsoftも緊急更新」といった要約も出回りましたが、BrotliはPHP2Shellとは別の問題で、Microsoftの更新の対象もWindows本体ではなく.NETなどの開発用の製品です。
この記事では、各社の公式発表をもとに、何が見つかったのか、どの製品が対象で修正版はどれか、自社で何を確認すればよいかを、専門知識がない方にも分かるように整理します。Node.jsの修正の全体はNode.jsの脆弱性10件の記事、PHP2ShellはPHPの脆弱性の記事で解説しています。
何が見つかったのか
| 項目 | 内容 |
|---|---|
| 識別番号 | CVE-2026-111497（通称「Node2Shell」「HTTP2Shell」） |
| 問題の場所 | BrotliのC言語の実装で、圧縮されたデータを元に戻す（展開する）部分 |
| 起きうること | 攻撃者が細工したBrotliのデータを展開させると、アプリが止まる、メモリ上の情報が漏れる、外部からプログラムを実行される、のいずれかが起きるおそれ |
| 深刻度 | Google（番号の発行元）の評価でCVSS 4.0 9.2（緊急）。Red HatとMicrosoftはCVSS 3.1で8.1。NVD（米国の脆弱性データベース）は分析待ち |
| 対象のBrotli | 1.0.3〜1.2.0（修正版は1.0.10・1.1.1・1.2.1） |
| 修正の公開 | 2026年10月21日（Google） |
| 悪用の状況 | 10月28日時点で報告なし。CISA（米国のサイバーセキュリティ当局）の悪用確認リストにも未掲載 |
深刻度の点数が機関によって違うのは、攻撃の難しさの見方が分かれているためです。Red Hatは「攻撃の条件がそろうのは難しい」として、最も高い区分の1つ下の「Important」としています（Red Hat）。シンガポールのサイバーセキュリティ庁はNode.jsの注意喚起でCVSS 3.1の9.8としています（CSA）。
JPCERT/CCは10月26日に注意喚起を出し、修正版の適用に加えて侵害がないかの調査を呼びかけています。また「Googleは、本脆弱性に対して緩和策を提供していません」としており、更新以外の回避策は製品ごとに確認する必要があります（JPCERT/CC、2026年10月26日）。
Brotliとは｜なぜ多くの製品に影響するのか
Brotliは、Webページや画像などのデータを小さくして送るための圧縮の方式です。ブラウザとWebサーバーの間の通信で広く使われているほか、さまざまなソフトの部品として組み込まれています。
今回の問題が起きるのは、外から受け取った圧縮データを「展開する」ときです。たとえば次のような場面が当てはまります。
- Webサーバーやアプリが、利用者から送られてきた圧縮済みのデータを受け取って展開する
- アプリが、外部のサイトやAPIから圧縮された応答を取り込んで展開する（Webの裏側で別のサービスのデータを取りに行く処理など）
- 開発者のパソコンで、ツールが圧縮されたデータを扱う
Brotliそのものは1つの部品でも、それを組み込んだ製品が多いため、製品ごとに修正版が順番に出てくる形になります。自社のシステムで使っている製品を一つずつ確認する必要があります。
製品ごとの対応と修正版
2026年10月28日時点で、公式の発表を確認できたものを並べます。
| 製品 | 修正版 | 公開日 | 補足 |
|---|---|---|---|
| Brotli（Google） | 1.2.1・1.1.1・1.0.10 | 10月21日 | GitHubのリリース |
| Node.js | 22.23.4・24.22.1・26.12.1 | 10月21日 | v20はサポート終了のため修正版なし（Node.js） |
| .NET（Microsoft） | 8.0.33・9.0.22・10.0.14・11 RC3（SDKは8.0.427・9.0.320・10.0.403） | 10月25日（米国時間） | 定例外の緊急更新。.NET Frameworkは対象外（.NET公式ブログ） |
| Visual Studio | 2019は16.11.61、2022は17.14.43、2026は18.11.2 | 10月25日（米国時間） | Microsoftのセキュリティ更新ガイド |
| PowerShell | 7.4.22・7.5.13・7.6.9 | 10月25日（米国時間） | 同上 |
| PHP（Windows版） | 8.5.12-1・8.4.27-1・8.3.36-1・8.2.35-1 | 10月26日 | Brotli 1.2.1を同梱して配り直し。PHP自体の版は変わらない（PHP公式） |
| PHPの拡張機能 brotli（PECL） | 0.21.1 | 10月24〜26日 | 同梱のBrotliを1.2.1に更新（GitHub） |
| Git for Windows | 2.56.0.windows.4 | 10月26日 | 「緊急のセキュリティ修正」として公開（GitHub） |
| Red Hat Enterprise Linux | brotli・Node.js・.NETのパッケージ | 順次 | OSのbrotliと、製品に同梱のbrotliの両方が対象（Red Hat） |
JPCERT/CCは、このほかにBun（JavaScriptの実行環境）とPython向けのBrotliのパッケージも対象として挙げています。Linuxのサーバーでは、OSが配布するbrotli（libbrotli）のパッケージの更新も確認してください。
Microsoftの緊急更新｜対象は.NETなど開発用の製品
Microsoftは10月25日（米国時間）、毎月第2火曜日の定例とは別に、.NETの緊急のセキュリティ更新を公開しました。Microsoftの評価は最も高い区分の「緊急（Critical）」で、影響は「権限の昇格」としています（Microsoft）。
| ポイント | 内容 |
|---|---|
| 対象になる使い方 | ASP.NET Coreで受け取ったリクエストの展開、HttpClientの自動展開（AutomaticDecompression）、System.IO.CompressionのBrotliの機能 |
| 初期設定 | リクエストの展開と、応答の自動展開は、初期設定では有効になっていない |
| 対象外 | .NET Framework、Windows本体、Edge |
| 自己完結型のアプリ | 作り直して配り直す必要がある。サーバーに新しいランタイムを入れても、アプリに同梱したランタイムは更新されない |
| コンテナ | 更新したイメージで作り直して、配置し直す |
同じ更新では、Linux向けの.NETの配布ファイルの権限設定の問題（CVE-2026-114148）と、10月13日の定例更新で直しきれていなかった2件の修正も配り直されています（.NET公式ブログ、10月25日）。.NETで作った業務システムやWebアプリを外部の会社に任せている場合は、更新の予定を確認してください。
PHP2Shellとの関係
同じ週に公表され、どちらも「〇〇2Shell」と呼ばれているため混同されがちですが、原因も対象も別の脆弱性です。
| PHP2Shell | 今回のBrotli | |
|---|---|---|
| 識別番号 | CVE-2026-109618・CVE-2026-109619 | CVE-2026-111497 |
| 問題の場所 | PHP本体 | データ圧縮の仕組みBrotli |
| 主な対象 | PHPで動くWebサイト（WordPressなど） | Node.js、.NET、Brotliを組み込んだ製品 |
| 悪用 | 米国CISAが10月26日に悪用確認リストに追加 | 10月28日時点で報告なし |
ただし、PHPもBrotliの影響を一部受けています。PHPの開発チームは10月26日、Windows版だけをBrotli 1.2.1に入れ替えて配り直しました。Windows版のPHPでは、cURL（外部のサイトと通信する機能）で応答の自動展開を有効にしている場合に、問題の部分を通る可能性があります。自動展開は初期設定では無効ですが、アプリや部品が有効にしていることがあります（PHP公式、10月26日）。
一般的なWordPressのサイトはLinuxのサーバーで動いているため、このWindows版の配り直しは直接は関係しません。PHP2Shellの対応状況はレンタルサーバー各社の対応状況をご覧ください。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
自社で確認する3つの手順
手順1：Brotliのデータを「展開」している場所を洗い出す
- Node.jsで動くWebサイト・API（Next.jsなどを自社のサーバーで動かしている場合を含む）
- .NETで作った業務システム・Webアプリ（ASP.NET Core）
- Windowsで動かしているPHP
- 開発者のパソコンのGit for Windows、Visual Studio、PowerShell
- Pythonで作ったツールやバッチ処理
手順2：版を確かめる
| 対象 | 確かめ方 | 修正版 |
|---|---|---|
| Node.js | node -v |
22.23.4・24.22.1・26.12.1以上 |
| .NET | dotnet --list-runtimes |
8.0.33・9.0.22・10.0.14以上 |
| PHP（Windows版） | 配布ファイル名やダウンロード元の表示（末尾の「-1」） | 8.5.12-1・8.4.27-1・8.3.36-1・8.2.35-1 |
| Git for Windows | git --version |
2.56.0.windows.4以上 |
手順3：更新し、必要なら作り直す
ランタイム（プログラムを動かす土台）を更新するだけで済む場合と、アプリやコンテナを作り直して配り直す必要がある場合があります。.NETの自己完結型のアプリや、Node.jsをコンテナに入れて動かしている場合は後者です。Vercelは、既存のプロジェクトは配り直す（再デプロイする）ことで保護が有効になるとしています（Vercel）。
WAFで守れるか
Cloudflareは10月25日、Brotliで圧縮したリクエストと、Next.jsの画像最適化の経路を対象にした緊急のルールを追加しました。ただし初期設定は「記録のみ（Log）」で、遮断はしません（Cloudflare）。Vercelも、すべてのプロジェクトに攻撃の経路を防ぐルールを自動で適用したとしていますが、関数が外部から取り込む応答は対象外です（Vercel）。
WAF（Webの攻撃を防ぐ仕組み）は時間を稼ぐための守りで、根本的な対策は修正版への更新です。
いま確認すべきこと
| 確認すること | 理由 |
|---|---|
| 自社のWebサイト・システムにNode.jsや.NETが使われているか、制作会社に確認する | この2つは修正版が出ており、更新が必要 |
| .NETの自己完結型アプリやコンテナは、作り直して配り直す | ランタイムを入れ替えるだけでは直らない |
| Windowsで動くPHPは、末尾が「-1」の版に入れ替える | 10月26日にBrotliの修正入りで配り直された |
| Linuxのサーバーは、OSのbrotliのパッケージの更新を確認する | OSの部品として入っている場合がある |
| 開発者のパソコンのGit for Windowsなどを更新する | 開発ツールにも同梱されている |
| PHP2Shellの更新も済んでいるか確認する | 別の脆弱性で、こちらは悪用が確認されている |
よくある質問
PHP2Shellと同じ脆弱性ですか？
いいえ、別の脆弱性です。PHP2Shell（CVE-2026-109618・CVE-2026-109619）はPHP本体の問題で、今回のCVE-2026-111497はデータ圧縮の仕組みBrotliの問題です。同じ週に公表され、どちらも「〇〇2Shell」という通称で呼ばれているため混同されがちです。PHPは10月26日にWindows版だけを、Brotliの修正を入れて配り直しています。
WordPressのサイトは対象になりますか？
一般的なWordPressのサイト（Linuxのレンタルサーバー）は、PHP公式の発表の対象ではありません。PHPが配り直したのはWindows版だけです。ただしサーバーのOSに入っているBrotliの部品が更新対象になる場合があるため、サーバー会社やOSの更新情報は確認してください。
Windowsの更新（Windows Update）で直りますか？
Microsoftの修正の対象は.NET、Visual Studio、PowerShell、Azure Linuxで、Windows本体とEdgeは対象に含まれていません。.NETで作ったアプリは、.NETの修正版に更新してください。アプリにランタイムを同梱している場合は、作り直して配り直す必要があります。
すでに悪用されていますか？
2026年10月28日時点で、悪用の報告は見当たりません。米国CISAの悪用確認リストにも載っていません。ただし攻撃の実証コードが公開されているとの報道があり、JPCERT/CCは修正版の早めの適用と、侵害がないかの確認を呼びかけています。
WAFを使っていれば更新しなくてもよいですか？
WAF（Webの攻撃を防ぐ仕組み）は一時的な守りにはなりますが、更新の代わりにはなりません。CloudflareやVercelは緊急のルールを出しましたが、外部から取り込むデータの展開など、WAFを通らない経路もあります。修正版への更新が根本的な対策です。
出典
- CVE「CVE-2026-111497」
https://www.cve.org/CVERecord?id=CVE-2026-111497 - NVD「CVE-2026-111497」
https://nvd.nist.gov/vuln/detail/CVE-2026-111497 - Google「brotli Releases（v1.2.1・v1.1.1・v1.0.10）」（2026年10月21日）
https://github.com/google/brotli/releases - Node.js「October 2026 Security Releases」（2026年10月21日）
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases - Microsoft「.NET October 2026 Out-of-Band Security Updates」（2026年10月25日）
https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/ - Microsoft「Security Update Guide：CVE-2026-111497」（2026年10月25日）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-111497 - PHP「Updated PHP Windows builds for Brotli security fix」（2026年10月26日）
https://www.php.net/archive/2026.php#2026-10-26-1 - kjdev/php-ext-brotli「0.21.1」
https://github.com/kjdev/php-ext-brotli/releases/tag/0.21.1 - Git for Windows「v2.56.0.windows.4」（2026年10月26日）
https://github.com/git-for-windows/git/releases - Red Hat「CVE-2026-111497」
https://access.redhat.com/security/cve/CVE-2026-111497 - JPCERT/CC「BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起」（2026年10月26日）
https://www.jpcert.or.jp/at/2026/at260034.html - Cloudflare「WAF changelog」（2026年10月25日）
https://developers.cloudflare.com/changelog/product/waf/ - Vercel「Node.js security advisory: Brotli decoder RCE」
https://vercel.com/kb/bulletin/node-js-security-advisory - Cyber Security Agency of Singapore「Critical Vulnerability in Node.js」（2026年10月23日）
https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/ - CISA「Known Exploited Vulnerabilities Catalog」
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
※本記事は2026年10月28日時点の公開情報にもとづいています。対象の製品や修正版は今後増える可能性があります。お使いの製品の最新情報は、各社の公式発表をご確認ください。
あわせて読みたい
Webサイトの保守のご相談
「うちのサイトは対象？」
からご相談ください
株式会社仁頼は、Webサイトの制作・改善と保守を支援しています。使っている仕組みの洗い出しや、制作会社・サーバー会社への確認事項の整理からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
