目次（5）
CVE-2026-111497
Google が公開している圧縮ライブラリー Brotli のデコーダー（c/dec/decode.c）に、範囲外書き込み（CWE-787）と戻り値の未確認（CWE-252）の問題 CVE-2026-111497 が公開されました。認証不要のリモートの攻撃者が細工した Brotli 圧縮データを送ると、デコーダーの隣接領域のメモリー破壊、メモリー内容の漏えい、サービス拒否、場合によっては任意コード実行につながる可能性があります。CISA は 2026-10-27 にこの脆弱性を KEV（悪用が確認された脆弱性）カタログへ追加しました。CNA の Google が付けた CVSS v4.0 は 9.2 で、修正版 1.0.10、1.1.1、1.2.1 が公開されています。
概要
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-111497 |
| 製品 | Google Brotli（圧縮ライブラリー。多くのソフトウェアに組み込まれている） |
| 問題 | デコーダーの範囲外書き込み（CWE-787）と戻り値の未確認（CWE-252） |
| 攻撃条件 | 認証不要。細工した Brotli 圧縮ストリームをデコーダーに処理させること |
| 結果 | 隣接メモリーの破壊、メモリー内容の漏えい、サービス拒否、任意コード実行の可能性 |
| 対象版 | 1.0.3 以上 1.0.10 未満、1.1.0 以上 1.1.1 未満、1.2.0 以上 1.2.1 未満 |
| 修正版 | 1.0.10、1.1.1、1.2.1 |
| 悪用状況 | CISA KEV に 2026-10-27 追加（対応期限 2026-11-10）。ランサムウェアでの利用は「不明」 |
- Brotli は HTTP の
Content-Encoding: brをはじめ、Web サーバー、ブラウザー、ランタイム、パッケージ管理、フォント配信などで広く使われます。攻撃者が圧縮データを送り込める経路があれば、その先のデコード処理が入口になります。 - 影響を受けるかどうかは、Brotli を単体で入れているかではなく、利用中の製品やランタイムがどの版の Brotli を同梱または静的リンクしているかで決まります。
影響範囲
NVD の対象データでは、Google Brotli の上記 3 系統の版が影響を受けるとされています。ライブラリーとして多数の製品に組み込まれるため、各製品の提供元が個別に勧告を出しています。
- NVD の参照情報には、Node.js のセキュリティリリース（2026 年 10 月）、.NET の告知、Debian LTS の勧告、Siemens の産業用エッジ製品に関する複数の勧告、Go 言語向け Brotli 実装のリリースなどが含まれます。
- Siemens の勧告では、産業用エッジ関連の製品群が影響ありとして挙げられ、一部の充電設備関連製品は影響なしとされています。個別の製品は各勧告で確認してください。
- 自社の製品が Brotli を内蔵しているか、どの版かは、ソフトウェア構成表（SBOM）や各提供元の勧告で確認する必要があります。
修正と対策
- Brotli を直接使う場合は、1.0.10、1.1.1、1.2.1 のいずれか、対象系統に応じた修正版へ更新する。
- Node.js、.NET、OS のパッケージ、Siemens など、Brotli を同梱する製品は、各提供元の修正版へ更新する。Brotli 単体の更新では反映されない場合があります。
- CISA は KEV 掲載に伴い、ベンダーの指示に従った緩和策の適用を求めています。連邦機関の対応期限は 2026-11-10 です。民間の組織も、これを優先度の目安にできます。
- 更新できない間は、信頼できない送信元からの Brotli 圧縮データ（リクエスト本文、アップロード、外部から取得するコンテンツ）をデコードしない設定を検討する。
- 外部から圧縮データを受ける Web サーバーや API の前段に、リバースプロキシーなどで圧縮の扱いを制限する構成も有効です。ただし、効果は構成により異なるため、修正版への更新を優先してください。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|---|
| NVD の状態 | Analyzed |
| CVSS v4.0 | 9.2（Google、AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H） |
| CVSS v3.1 | NVD の登録では未付与（確認時点） |
| CWE | CWE-787（範囲外書き込み）、CWE-252（戻り値の未確認） |
| EPSS | 0.8264（パーセンタイル 0.9967、FIRST、2026-11-02 時点） |
| KEV | 掲載あり（2026-10-27 追加、対応期限 2026-11-10） |
| 出典 | NVD、Google（CNA）、FIRST、CISA、Node.js・Siemens ほか各提供元の勧告 |
未確認の点
- 実際の攻撃で悪用された具体的な経路、対象製品、規模（CISA は悪用を確認したとして掲載しているが、詳細は公開情報では確認できない）。
- ランサムウェア攻撃での利用（KEV 上は「不明」）。
- CVSS v3.1 に相当する NVD 独自の評価。
- 各製品が内蔵する Brotli の版と、提供元ごとの修正版の公開状況。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-111497（NIST NVD）
- CISA KEV カタログ（CVE-2026-111497）（CISA）
- Brotli 1.2.1 リリース（Google Brotli プロジェクト）
- Node.js 2026 年 10 月セキュリティリリース（Node.js プロジェクト）
- Siemens ProductCERT SSA-045512（Siemens ProductCERT）
- FIRST EPSS（FIRST）
