「HTTP2Shell」は、Google の圧縮ライブラリ Brotli の展開処理にある欠陥（CVE-2026-111497）の呼び名です。2026年10月21日の Node.js のセキュリティリリースで最も重大とされた件ですが、原因は Brotli 本体にあり、Bun・Python・.NET・Windows 版 PHP・Linux などにも修正が出ています。この記事では、Node.js 以外への広がりと「自分に関係あるか」を、開発元・各社・公的機関の公式発表だけで整理します（確認：2026年10月28日3:16〜3:23、日本時間）。
【結論】
- 何の欠陥か：Brotli 1.0.3〜1.2.0 の展開（デコード）処理での範囲外書き込み。修正版は 1.0.10・1.1.1・1.2.1 です。
- 関係する人：外から受け取った Brotli データを展開するソフトを動かしている人。Node.js・Bun・Python・.NET・PowerShell 7・Windows 版 PHP・Linux の brotli パッケージに修正が出ています。
- レンタルサーバー：主要9社のお知らせに告知はありません（2026年10月28日3:20確認）。
- ブラウザ・OS：Chrome・Windows・macOS・iOS の公式告知はありません。
- 悪用：米国CISAの「悪用が確認された脆弱性」のカタログ（KEV）には載っていません。
HTTP2Shell とは
CVE 番号を割り当てた Google の記載（CVE レコード）では、Brotli のデコーダ（c/dec/decode.c）のバッファオーバーフローで、全プラットフォームの 1.0.3〜1.2.0 が対象です。細工した圧縮データにより、認証なしの遠隔の攻撃者がメモリの破壊・漏えい・サービス停止、場合によっては任意のコード実行を起こせるおそれがあるとしています。
- 修正版：Google Brotli のリリース一覧で、v1.2.1・v1.1.1・v1.0.10 が2026年10月22日4:27ごろ（日本時間。協定世界時では10月21日19:27）に公開されました。
- 深刻度：Google は CVSS v4 で 9.2（Critical）、Red Hat と Microsoft は CVSS v3.1 で 8.1、Node.js と Bun は「High」です。
- 呼び名：JPCERT/CC は、Node.js の公表に関連して「Node2Shell」と呼ばれていたが、原因が HTTP 通信で使われる Brotli にあり複数の製品が影響を受けるため「HTTP2Shell」とも呼ばれている、と説明しています。
攻撃の条件について、Red Hat は、攻撃には標的のソフトが攻撃者の用意した Brotli データを展開する必要があり、特定の壊れたデータで起きると説明しています。
どこに Brotli が入っているか（影響範囲の早見表）
2026年10月28日3:16〜3:23（日本時間）に各社の公式ページで確認した内容です。
| 製品 | 修正版・対応 | 公式告知 | 悪用の記載 |
|---|---|---|---|
| Google Brotli（本体） | 1.0.10・1.1.1・1.2.1 | あり | 記載なし |
| Node.js | v22.23.4・v24.22.1・v26.12.1 | あり | 記載なし |
| Bun | 1.4.4 | あり | 記載なし |
| Python の Brotli／brotlicffi | Brotli 1.2.1・brotlicffi 1.2.1.0 | あり | 記載なし |
| .NET・PowerShell 7・Visual Studio | .NET 8.0.33・9.0.22・10.0.14 ほか、PowerShell 7.4.22・7.5.13・7.6.9 | あり | 「Exploited: No」 |
| PHP（Windows 版ビルド） | 8.5.12-1・8.4.27-1・8.3.36-1・8.2.35-1 | あり | 記載なし |
| Linux（Ubuntu・Red Hat・Debian） | 各ディストリビューションの brotli パッケージ | あり | 記載なし |
| Palo Alto Networks | PAN-OS の hotfix を順次公開（Brotli の検査を有効にした場合が対象） | あり | 悪用は把握していない |
| Fortinet | 自社製品への影響を調査中 | あり | 「Known Exploited: No」 |
| Chrome | ― | 告知なし | ― |
| Firefox | ― | Mozilla の告知なし | ― |
| Windows 本体・macOS・iOS | ― | 告知なし | ― |
| 主要レンタルサーバー | ― | 告知なし | ― |
- Bun：fetch は初期設定で Brotli の応答を自動で展開するため、接続先のサーバーが展開処理にデータを送れるとしています。bun build –compile で作った実行ファイルは 1.4.4 で作り直します。
- .NET：ASP.NET Core と HttpClient は初期設定では Brotli を自動で展開せず、展開を有効にした場合などに影響するとしています。Microsoft の対象製品に Windows 本体や Edge は含まれていません。
- Linux：Ubuntu（USN-8956-1）・Red Hat（RHEL 8・9・10）・Debian（DSA-6582-1 ほか）が更新を出しています。版番号は本体と異なり、Ubuntu 22.04 LTS の修正版は 1.0.9-2ubuntu0.1 です。
- Firefox：Red Hat は RHSB-2026-015 で Firefox が Brotli を組み込んでいるとし、RHEL 向けは 140.10.0（2026年4月）を修正済みと記録しています。Mozilla の告知に CVE-2026-111497 は見当たりません。
自分に関係ある？ 使い方別の切り分け
Node.js や Bun を使っている
Node.js は v22.23.4・v24.22.1・v26.12.1 以降に更新します。手順や同時に直った9件はNode.jsの脆弱性10件、自分は対象？修正版と今やること【2026年10月】にまとめています。Bun は 1.4.4 以降に更新します。
Windows で PHP を動かしている
php.net は2026年10月26日20:57（日本時間）、Windows 版ビルドを Brotli 1.2.1 入りに作り直しました。欠陥のある処理に届くのは cURL 拡張で HTTP 応答の自動展開を有効にした場合で、「This is disabled by default in cURL」（cURL の初期設定では無効）としつつ、アプリやライブラリが有効にすることもあると書いています。PHP 本体の版は変わりません。Linux 版の PHP についての記載はありません。
レンタルサーバーで WordPress などを運用している
エックスサーバー・シンレンタルサーバー・さくらのレンタルサーバ・ロリポップ！・ConoHa WING・お名前.com レンタルサーバー・CPI・ヘテムル・mixhost のお知らせ一覧に、Brotli・HTTP2Shell・CVE-2026-111497 の告知はありませんでした（2026年10月28日3:19〜3:20確認）。さくらインターネットの10月26日の「対応状況まとめ」も、対象は PHP と Linux カーネルです。
同じ時期の PHP の脆弱性（PHP2Shell）は別の件で、各社の対応はPHP脆弱性php2shell、各社の対応状況まとめ【毎日更新】で追っています。VPS など OS を自分で管理するサーバーは brotli パッケージを更新します。Ubuntu は「通常のシステム更新で必要な変更がすべて行われる」としています。
パソコンやスマホでブラウザを使うだけ
Chrome・Windows・macOS・iOS の公式告知はありません。.NET・PowerShell 7・Visual Studio を入れている場合は、Microsoft の更新ガイドの版へ更新します。
今やること
- 早見表で使っている製品を確かめ、修正版に更新して、動いているサービスやアプリを再起動します。
- すぐに更新できない場合、Bun は fetch に decompress: false を渡す、.NET は Brotli の自動展開を外す、Palo Alto Networks は Brotli の検査を無効にする回避策を示しています。
- JPCERT/CC は、対策の適用とあわせて侵害の有無の調査を求めています。
- 共用のレンタルサーバーは、契約先のお知らせを引き続き確認します。
公的機関の注意喚起
JPCERT/CC は2026年10月26日、「BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起」（JPCERT-AT-2026-0034）を公開しました。影響を受ける製品に Node.js・Bun・Python 向け Brotli パッケージなどが含まれるとし、各開発元の情報で影響と対応状況を確認するよう求めています。JVN も同じ日に「JVNVU#97400824」を公開しました。IPA の重要なセキュリティ情報には、2026年10月28日時点で掲載はありません。
公式に書かれていないこと・現時点でわからないこと
- 悪用の有無：CISA の KEV（2026年10月26日版）に載っておらず、CVE レコードにある CISA の評価（10月23日）は「Exploitation: none」です。
- 呼び名の由来：誰が名付けたかは、公式の文書に書かれていません。
- ブラウザ・OS・レンタルサーバー：Chrome・Windows・macOS・iOS と主要レンタルサーバー各社は、影響の有無を公表していません。Fortinet は調査中です。
PHP の脆弱性そのものはPHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順で取り上げています。
よくある質問
HTTP2Shell と Node2Shell は別の脆弱性ですか？
同じ脆弱性（CVE-2026-111497）です。JPCERT/CC と JVN は、どちらも Brotli の展開処理にある同じ欠陥の呼び名として説明しています。
Node.js を使っていないレンタルサーバーの WordPress も対策が必要ですか？
2026年10月28日3:20時点で、主要なレンタルサーバー各社のお知らせに Brotli・HTTP2Shell の告知はなく、利用者向けの手順も公表されていません。契約先のお知らせを確認してください。PHP の脆弱性（PHP2Shell）は別の件です。
Chrome や Windows の更新は必要ですか？
Chrome と Windows 本体について、この欠陥に関する公式の告知はありません。Microsoft は .NET・PowerShell 7・Visual Studio を対象としているため、これらを入れている場合は更新してください。
すでに攻撃に悪用されていますか？
2026年10月28日時点で、米国CISAの KEV に CVE-2026-111497 は載っていません。Red Hat は、クラッシュを起こす実証コードは公開されているものの、確実なリモートコード実行の公開エクスプロイトは確認されていないとしています。
あわせて読みたい：PHP2Shell（CVE-2026-109618/109619）の影響製品一覧
参考（確認日時：2026年10月28日3:16〜3:23）
- Google Brotli：Releases（v1.2.1・v1.1.1・v1.0.10）
- CVE.org：CVE-2026-111497／NVD：CVE-2026-111497
- Node.js 公式：Wednesday, October 21, 2026 Security Releases
- Bun：GHSA-663w-cv8g-jj2p（Bundled brotli decoder has an out-of-bounds write）
- GitHub Advisory Database：GHSA-9v8h-qqgm-4m35（PyPI の Brotli・brotlicffi）
- Microsoft：セキュリティ更新プログラムガイド（CVE-2026-111497）／.NET のセキュリティアドバイザリ
- PHP公式：Updated PHP Windows builds for Brotli security fix（2026年10月26日）
- Ubuntu：USN-8956-1／Red Hat：CVE-2026-111497・RHSB-2026-015／Debian：Security Tracker
- Palo Alto Networks：Portfolio Status: Impact of Brotli Vulnerability／Fortinet：FG-IR-26-187
- JPCERT/CC：JPCERT-AT-2026-0034（2026年10月26日）／JVN：JVNVU#97400824／IPA：重要なセキュリティ情報（2026年度）
- CISA：Known Exploited Vulnerabilities Catalog（JSON・2026年10月26日版）
- 告知なしの確認先：Chrome Releases／Mozilla Security Advisories／Apple security releases
コメント