---
title: "Google Brotli 1.0.3〜1.2.0 の CVE-2026-111497: 細工した圧縮データでデコーダーが範囲外書き込み、遠隔から任意コード実行の可能性。CISA KEV 掲載・EPSS 0.83"
url: https://n-t-p.io/worldsecurity/articles/google-brotli-decoder-out-of-bounds-write-remote-code-execution-kev-cve-2026-111497
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-111497
---

# Google Brotli 1.0.3〜1.2.0 の CVE-2026-111497: 細工した圧縮データでデコーダーが範囲外書き込み、遠隔から任意コード実行の可能性。CISA KEV 掲載・EPSS 0.83

> **TL;DR:** Google Brotli のデコーダーに範囲外書き込みがあり、認証不要の遠隔の攻撃者が細工した圧縮データで任意コードを実行できる可能性がある（CVE-2026-111497）。1.0.3〜1.2.0 が対象で、修正版は 1.0.10・1.1.1・1.2.1。CVSS v4.0 9.2（Google）、CISA KEV に 2026-10-27 追加、EPSS 0.83。

**要点**
- Brotli デコーダーの範囲外書き込み（CWE-787）。認証不要で、細工した圧縮データによりメモリー破壊・情報漏えい・サービス拒否・任意コード実行の可能性
- CVSS v4.0 9.2（Google、AV:N/PR:N/UI:N）。認証不要で 9 以上のため、本サイトでは critical
- CISA KEV に 2026-10-27 追加（対応期限 2026-11-10）。EPSS 0.8264（パーセンタイル 0.9967）
- Node.js・.NET・Siemens の製品群など Brotli を内蔵する製品は、各提供元の修正版へ更新する。悪用の具体的な経路は未確認

Google が公開している圧縮ライブラリー Brotli のデコーダー（`c/dec/decode.c`）に、範囲外書き込み（CWE-787）と戻り値の未確認（CWE-252）の問題 CVE-2026-111497 が公開されました。認証不要のリモートの攻撃者が細工した Brotli 圧縮データを送ると、デコーダーの隣接領域のメモリー破壊、メモリー内容の漏えい、サービス拒否、場合によっては任意コード実行につながる可能性があります。CISA は 2026-10-27 にこの脆弱性を KEV（悪用が確認された脆弱性）カタログへ追加しました。CNA の Google が付けた CVSS v4.0 は 9.2 で、修正版 1.0.10、1.1.1、1.2.1 が公開されています。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-111497 |
| 製品 | Google Brotli（圧縮ライブラリー。多くのソフトウェアに組み込まれている） |
| 問題 | デコーダーの範囲外書き込み（CWE-787）と戻り値の未確認（CWE-252） |
| 攻撃条件 | 認証不要。細工した Brotli 圧縮ストリームをデコーダーに処理させること |
| 結果 | 隣接メモリーの破壊、メモリー内容の漏えい、サービス拒否、任意コード実行の可能性 |
| 対象版 | 1.0.3 以上 1.0.10 未満、1.1.0 以上 1.1.1 未満、1.2.0 以上 1.2.1 未満 |
| 修正版 | 1.0.10、1.1.1、1.2.1 |
| 悪用状況 | CISA KEV に 2026-10-27 追加（対応期限 2026-11-10）。ランサムウェアでの利用は「不明」 |

- Brotli は HTTP の `Content-Encoding: br` をはじめ、Web サーバー、ブラウザー、ランタイム、パッケージ管理、フォント配信などで広く使われます。攻撃者が圧縮データを送り込める経路があれば、その先のデコード処理が入口になります。
- 影響を受けるかどうかは、Brotli を単体で入れているかではなく、利用中の製品やランタイムがどの版の Brotli を同梱または静的リンクしているかで決まります。

## 影響範囲

NVD の対象データでは、Google Brotli の上記 3 系統の版が影響を受けるとされています。ライブラリーとして多数の製品に組み込まれるため、各製品の提供元が個別に勧告を出しています。

- NVD の参照情報には、Node.js のセキュリティリリース（2026 年 10 月）、.NET の告知、Debian LTS の勧告、Siemens の産業用エッジ製品に関する複数の勧告、Go 言語向け Brotli 実装のリリースなどが含まれます。
- Siemens の勧告では、産業用エッジ関連の製品群が影響ありとして挙げられ、一部の充電設備関連製品は影響なしとされています。個別の製品は各勧告で確認してください。
- 自社の製品が Brotli を内蔵しているか、どの版かは、ソフトウェア構成表（SBOM）や各提供元の勧告で確認する必要があります。

## 修正と対策

- **Brotli を直接使う場合は、1.0.10、1.1.1、1.2.1 のいずれか、対象系統に応じた修正版へ更新する。**
- Node.js、.NET、OS のパッケージ、Siemens など、Brotli を同梱する製品は、各提供元の修正版へ更新する。Brotli 単体の更新では反映されない場合があります。
- CISA は KEV 掲載に伴い、ベンダーの指示に従った緩和策の適用を求めています。連邦機関の対応期限は 2026-11-10 です。民間の組織も、これを優先度の目安にできます。
- 更新できない間は、信頼できない送信元からの Brotli 圧縮データ（リクエスト本文、アップロード、外部から取得するコンテンツ）をデコードしない設定を検討する。
- 外部から圧縮データを受ける Web サーバーや API の前段に、リバースプロキシーなどで圧縮の扱いを制限する構成も有効です。ただし、効果は構成により異なるため、修正版への更新を優先してください。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Analyzed |
| CVSS v4.0 | 9.2（Google、AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H） |
| CVSS v3.1 | NVD の登録では未付与（確認時点） |
| CWE | CWE-787（範囲外書き込み）、CWE-252（戻り値の未確認） |
| EPSS | 0.8264（パーセンタイル 0.9967、FIRST、2026-11-02 時点） |
| KEV | 掲載あり（2026-10-27 追加、対応期限 2026-11-10） |
| 出典 | NVD、Google（CNA）、FIRST、CISA、Node.js・Siemens ほか各提供元の勧告 |

## 未確認の点

- 実際の攻撃で悪用された具体的な経路、対象製品、規模（CISA は悪用を確認したとして掲載しているが、詳細は公開情報では確認できない）。
- ランサムウェア攻撃での利用（KEV 上は「不明」）。
- CVSS v3.1 に相当する NVD 独自の評価。
- 各製品が内蔵する Brotli の版と、提供元ごとの修正版の公開状況。


## 出典
- [NVD CVE-2026-111497](https://nvd.nist.gov/vuln/detail/CVE-2026-111497) — NIST NVD
- [CISA KEV カタログ（CVE-2026-111497）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111497) — CISA
- [Brotli 1.2.1 リリース](https://github.com/google/brotli/releases/tag/v1.2.1) — Google Brotli プロジェクト
- [Node.js 2026 年 10 月セキュリティリリース](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) — Node.js プロジェクト
- [Siemens ProductCERT SSA-045512](https://cert-portal.siemens.com/productcert/html/ssa-045512.html) — Siemens ProductCERT
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-111497) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/google-brotli-decoder-out-of-bounds-write-remote-code-execution-kev-cve-2026-111497