CVEノート

最近の脆弱性 › CVE-2026-111497

Google Brotli のバッファオーバーフローの脆弱性（CVE-2026-111497）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

悪用は未確認（10/23時点） この脆弱性は、米国CISAの「悪用が確認された脆弱性の一覧（KEV）」には載っていません。実際の攻撃に使われたという報告はまだありませんが、深刻度が高く、特に注意が必要なため取り上げています。

基本情報（データから表示）

CVE番号CVE-2026-111497
製品Google Brotli
深刻度（CVSS）9.2 緊急CVSS v4.0
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
悪用の状況悪用の報告はまだ確認されていません（CISA の KEV に未掲載。10/23時点）
NVD に登録された日2026-10-22
弱点の種類（CWE）CWE-252, CWE-787

何が起きた

Google Brotliという、データを圧縮・展開するためのソフトウェア（ライブラリ）に、離れた場所から特別な権限がなくても悪用できる弱点が見つかりました。細工された圧縮データを展開すると、決められた範囲の外のメモリに書き込んでしまい（バッファオーバーフロー）、メモリの中身が漏れたり、サービスが止まったり、攻撃者が選んだプログラムを実行されたりするおそれがあります。ただし、実際の攻撃に使われたという報告は、まだ確認されていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した圧縮データを送る → 2. Brotliがデータを展開する → 3. 範囲外のメモリに書き込まれる → 4. 情報漏えいやプログラム実行が起きる1攻撃者が細工した圧縮データを送る2Brotliがデータを展開する3範囲外のメモリに書き込まれる4情報漏えいやプログラム実行が起きる攻撃の流れ: 1. 攻撃者が細工した圧縮データを送る → 2. Brotliがデータを展開する → 3. 範囲外のメモリに書き込まれる → 4. 情報漏えいやプログラム実行が起きる1攻撃者が細工した圧縮データを送る2Brotliがデータを展開する3範囲外のメモリに書き込まれる4情報漏えいやプログラム実行が起きる

誰が影響を受ける

Brotliは、ほかのソフトウェアに組み込まれて使われます。影響を受けるのはBrotli 1.0.3から1.2.0までで、Brotliを組み込んでいるNode.jsの22.x、24.x、26.xも影響を受けます。そのほかの製品の状況は、このデータからは不明です。

何をすればいい

Brotliを使っている場合は、1.0.10、1.1.1、1.2.1以降に更新してください。Node.jsを使っている場合は、22.23.4、24.22.1、26.12.1以降に更新します。サポートが終わった版のNode.jsも影響を受けるため、サポート中の版へ移る必要があります。Brotliはさまざまなソフトウェアに組み込まれているため、使っている製品のメーカーの案内も確認しましょう。

やることチェックリスト

用語メモ

ライブラリ
ほかのソフトウェアから呼び出して使う、部品のようなプログラムのことです。
バッファオーバーフロー
決められた大きさのメモリの範囲を超えてデータを書き込んでしまう不具合のことです。
Node.js
サーバーなどでJavaScriptのプログラムを動かすためのソフトウェアです。

元データ（英語）

説明（NVD）

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.

公式情報