深刻なのはPHPやNode.jsだけじゃない。Google製技術の脆弱性「HTTP2Shell」対応急務

　Googleが提供するオープンソースのデータ圧縮アルゴリズム「Brotli」において、メモリの内容漏洩や認証なしでのリモートコード実行につながる脆弱性(通称: HTTP2Shell)が明らかとなった。10月21日にPHPの脆弱性「PHP2Shell」と同じ日にNode.jsの脆弱性「CVE-2026-111497」として報告されたが、その後ほかのアプリケーションにも影響があると判明したことから、対応が進められている。

　CVE-2026-111497は、Brotliのデコーダに存在するバッファオーバーフローの脆弱性。細工された圧縮ストリームを用いることで、クラッシュやメモリ内容の漏洩、リモートでの任意コード実行を引き起こせるという。

　脆弱性を発見したOpenAIでは、当初のNode.jsのほか、Brotliを利用するBun、Envoy Proxy、Istioといったツールに影響があると説明。これらのツールでは、すでに以下のような修正版の提供が始まっている。

• Node.js: バージョン26.12.1、24.22.1、22.23.4
• Bun: バージョン1.4.4
• Envoy Proxy: バージョン1.40.0、1.39.3、1.38.6、1.37.8
• Istio: バージョン1.31.2、1.30.6、1.29.9(1.29系はサポート終了済み)
• Google Brotli: バージョン1.2.1、1.1.1、1.0.10

　加えて、これらのツールを利用したアプリも脆弱性にさらされる可能性があり、影響は広範囲にわたるとみられている。同社では、Electronなどにおける組み込みランタイムを利用しているケース、curlやlibcurl、PythonやJavaなどのネイティブライブラリに含まれるケース、フォントデコーダやデータファイルリーダなどのファイル処理で活用しているケースを例に挙げ、注意を呼びかけている。