Googleが開発したデータ圧縮ライブラリ「Brotli」において、重大な脆弱性が発見されたことで、ソフトウェア開発環境全体に広範なリスクが浮き彫りになりました。研究者らはこの脆弱性を「Node2Shell」（登録番号：CVE-2026-111497）と命名しました。この脆弱性は、リモートコード実行（RCE）のリスクを回避するため、Microsoft、Node.jsプロジェクト、およびPythonパッケージ開発者による緊急のセキュリティアップデートを促す事態となりました。
問題の核心は、Brotliのバージョン1.0.3から1.2.0に存在する「境界外書き込み（out-of-bounds write）」の欠陥です。Googleはこの脆弱性にCVSS v4スコアで9.2という深刻度を割り当てており、重大な脆弱性に分類されます。この欠陥が悪用されるとメモリ破損が発生し、プロセスのクラッシュやメモリ内容の漏洩、最悪の場合は権限のない攻撃者による任意のコード実行を許す可能性があります。
なぜこの脅威が技術的に危険なのか？
BrotliはWeb経由で転送されるデータの圧縮に広く利用されているライブラリであり、その「デコーダー」は膨大な数のアプリケーションやソフトウェアライブラリに組み込まれています。圧縮されたHTTPリクエスト、外部サーバーからのレスポンス、圧縮ファイルなど、信頼できないソースからの圧縮データを処理するアプリケーションは、影響を受けるバージョンを使用している場合、攻撃の対象となる可能性があります。
影響を受ける範囲と利用可能な修正
システムの安全性を確保するため、技術分野の複数のセクターでアップデートの波が広がりました：
- Microsoft：.NET（バージョン8.0.33、9.0.22、10.0.14）、Visual Studio（2019、2022、2026）、およびPowerShell（バージョン7.4、7.5、7.6）のアップデートをリリースしました。
- Node.jsおよびPython：Node.jsプロジェクト、およびBrotliやbrotlicffiといった著名なPythonパッケージに対して修正がリリースされました。
- その他のツール：Bun、Envoy、Istioなどもアップデートの対象に含まれています。
開発者や管理者がすべきこと
専門家は、ライブラリを更新するだけでは不十分な場合があることを強調しています。既に実行中のプロセスは、メモリ内で脆弱なコードを使用し続ける可能性があるためです。そのため、以下の手順を実行する必要があります：
- ライブラリの即時更新：Brotliのバージョン1.0.10、1.1.1、または1.2.1以降に移行してください。
- サービスの再起動：影響を受けるすべてのサービスとアプリケーションを再起動し、新しいコードの読み込みとメモリのクリーンアップを確実に行う必要があります。
- コンテナの再構築：クラウドコンピューティング環境では、修正が含まれるように更新されたベースイメージを使用して、コンテナイメージを再構築する必要があります。