• ひとことでGoogle Brotli の展開の処理で、メモリを壊されてしまう弱点です。
  • 深刻度9.2 緊急CVSS v4.0
  • まずやることBrotli を 1.0.10・1.1.1・1.2.1 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-111497
製品Google Brotli
深刻度（CVSS）9.2 緊急CVSS v4.0
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
KEVへの追加日2026-10-27
米国政府機関の対応期限2026-11-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-252
CWE-787（範囲外への書き込み）

何が起きた

データを圧縮・展開するための部品 Google Brotli の展開の処理に、処理の結果を正しく確かめない弱点が見つかり、実際に悪用されていることが確認されました。細工した圧縮データを展開させると、メモリの範囲外への書き込みが起きます。CVE の記録によると、ネットワーク経由で、ログインしていない攻撃者が悪用でき、メモリの中身の漏えいや、サービス妨害、場合によっては任意のコード（攻撃者が好きに選べるプログラム）の実行につながるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した圧縮データを用意する → 2. アプリがそのデータを展開する → 3. 展開中にメモリの範囲外へ書き込まれる → 4. 情報の漏えいや停止などが起きる1攻撃者が細工した圧縮データを用意する2アプリがそのデータを展開する3展開中にメモリの範囲外へ書き込まれる4情報の漏えいや停止などが起きる攻撃の流れ: 1. 攻撃者が細工した圧縮データを用意する → 2. アプリがそのデータを展開する → 3. 展開中にメモリの範囲外へ書き込まれる → 4. 情報の漏えいや停止などが起きる1攻撃者が細工した圧縮データを用意する2アプリがそのデータを展開する3展開中にメモリの範囲外へ書き込まれる4情報の漏えいや停止などが起きる攻撃の流れ: 1. 攻撃者が細工した圧縮データを用意する → 2. アプリがそのデータを展開する → 3. 展開中にメモリの範囲外へ書き込まれる → 4. 情報の漏えいや停止などが起きる1攻撃者が細工した圧縮データを用意する2アプリがそのデータを展開する3展開中にメモリの範囲外へ書き込まれる4情報の漏えいや停止などが起きる

誰が影響を受ける

Brotli は、ほかのソフトウェアに組み込まれて使われる部品です。CVE の記録によると、影響を受けるのは Brotli の 1.0.3 から 1.2.0 までです。Node.js によると、Node.js に組み込まれた Brotli も影響を受け、対象は 26.x、24.x、22.x の系列です。Brotli を組み込んだほかの製品が影響を受けるかは、それぞれのメーカーの案内で確かめる必要があります。

何をすればいい

Brotli を直接使っている場合は、修正版の 1.0.10、1.1.1、1.2.1 以降に更新されているか確認してください。Node.js を使っている場合は、Node.js の公式の案内を確認し、同じセキュリティ更新で出された v22.23.4、v24.22.1、v26.12.1 に更新されているか確認してください。Brotli を組み込んだほかの製品は、メーカーの公式の案内に従って更新してください。

やることチェックリスト

  • Brotli を 1.0.10・1.1.1・1.2.1 以降に更新する
  • Node.js を v22.23.4 などの修正版に更新する
  • Brotli を組み込んだ製品のメーカーの案内に従う

用語メモ

範囲外への書き込み
用意されたメモリの範囲を越えて、データを書き込んでしまうことです。ほかのデータを壊し、思わぬ動きの原因になります。
サービス妨害 用語集で見る
ソフトウェアや機器を止めたり、動きを重くしたりして、使えなくすることです。
任意のコード 用語集で見る
攻撃者が好きに選んだプログラムのことです。これを動かされると、機器やシステムを思いどおりに操作されるおそれがあります。

次に読む

同じ製品・メーカーの脆弱性Google Pixel（CVE-2026-58704）8.8 重要CVSS v3.1Google Pixelのモデムで、近くの攻撃者に権限の確認をすり抜けられる弱点です。同じ製品・メーカーの脆弱性Google Chromium V8（CVE-2026-87491）8.8 重要CVSS v3.1ChromeなどのV8で、細工したページから、隔離された範囲（サンドボックス）の中で任意のコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Brotli Unchecked Return Value Vulnerability

概要

Google Brotli contains an unchecked return value vulnerability that allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る