開発者や主要IT企業は、HTTP2Shell（CVE-2026-111497として追跡され、Node2ShellやBroccoli2Shellとしても知られる）と呼ばれる非常に深刻な脆弱性に対処するため、緊急セキュリティパッチをリリースしました。この脆弱性は、Node.jsやその他の多くのソフトウェアプラットフォームに組み込まれているC言語で書かれた解凍ライブラリ「Brotli」に影響を与えます。
この脆弱性は、Brotliのバージョン1.0.3から1.0.9、ならびにバージョン1.1.0および1.2.0に影響します。この問題は最初Node.js環境で発見され、その後Brotli解凍機能自体にある同じ欠陥が様々な技術環境のソフトウェアに影響を与えることが判明したため、複数の名称で報告されました。
影響範囲と影響を受けるシステム
HTTP2Shellという名称はHTTPプロトコルのクライアントやサーバーへの潜在的な影響を示していますが、この脆弱性はHTTP/2だけに限定されるものではなく、攻撃者が管理するBrotliデータの解凍に依存するあらゆるアプリケーションに及びます。影響を受ける可能性のあるアプリケーションには以下が含まれます。
- 著名なNode.jsランタイム環境。
- 影響を受けるBrotli解凍機能と連携するように設定されている場合、Pythonのurllib3、requests、httpx、aiohttpなどのHTTPライブラリ。
- 脆弱性の悪用により影響を受けたシステム上で特権昇格が可能になるため、Microsoftが.NETプラットフォームでの脆弱性に対処するためにリリースした緊急セキュリティアップデート。
悪用のメカニズムと技術的影響
この脆弱性はバッファオーバーフローの欠陥に起因します。特別に作成されたBrotliデータストリームにより無効なブロック切り替え処理がトリガーされ、解凍プログラムはそれを有効なものとして扱い、追加の入力を求める要求として誤って解釈します。8バイトサイズの内部バッファに入力バイトを追加し続けることで、書き込みが許可された境界を超え、隣接するメモリを破損させます。
サイバーセキュリティ企業Impervaが発行した技術レポートによると、この脆弱性の悪用に成功すると、ソフトウェアプロセスのクラッシュ、機密メモリ内容の漏洩、さらにはリモートコード実行（RCE）につながる可能性があります。
実際の変更点と修復方法
実際のサイバー攻撃でこの脆弱性が悪用されたことを確認する現在の報告はありませんが、悪用の概念実証（PoC）コードが利用可能になっているため、システム管理者や開発者は迅速に対応する必要があります。
- 即時アップデート：Google Brotli（1.0.10、1.1.1、1.2.1）、Node.js（バージョン22.23.4、24.22.1、26.12.1）、および影響を受けるPythonライブラリで不具合に対処した更新バージョンが利用可能になりました。
- 追加の対策：アップデートをインストールした後、管理者は影響を受けるプロセスを再起動し、コンテナイメージを再構築して再デプロイする必要があります。
- 一時的な回避策：即時のアップデートが不可能な場合は、PythonアプリケーションからBrotliサポートを完全に削除し、プロキシまたはファイアウォールレベルで受信するBrotliリクエストをブロックすることが推奨されます。