CISA、Brotliの脆弱性CVE-2026-111497をKEVに追加
CISAは2026年10月27日、Brotliの脆弱性CVE-2026-111497を悪用された脆弱性カタログに追加し、連邦機関に11月10日までの対応を求めた。
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月27日、Brotli圧縮ライブラリの脆弱性CVE-2026-111497を、実際に悪用が確認された脆弱性のカタログ（KEV）に追加した。Node2Shell、またはBroccoli2Shellと呼ばれる脆弱性で、CISAは米国の連邦文民機関に対し2026年11月10日までに修復するよう期限を設けた。
この脆弱性はBrotliの解凍処理における境界外書き込みで、メモリ破損や機密データの漏えい、サービス停止を引き起こす可能性がある。条件によってはリモートコード実行につながる恐れもある。影響が及ぶ可能性がある製品にはNode.js、Bun、Microsoft .NET、PowerShell、Envoy Proxy、Istio、Python向けBrotliパッケージが含まれる。
対象となるGoogleのBrotliのバージョンは1.0.3から1.0.10未満、1.1.0から1.1.1未満、1.2.0から1.2.1未満。カナダのサイバーセキュリティセンターも2026年10月28日、Brotliライブラリを使うソフトウェアの点検を求める緊急警報を別途発した。
VMware製品への影響と暫定策
ブロードコムは2026年10月27日、アドバイザリVMSA-2026-0008で、VMware Cloud FoundationのSDDC Managerが影響を受けると公表した。SDDC Manager 9.1.1はCVSS 9.8、9.0.x、9.1.0、5.2.xはCVSS 7.5と評価されている。2026年10月28日時点でSDDC Managerの完全な修正プログラムは準備中で、暫定的な緩和策が示されている。
レッドハットは、公開された概念実証コードがメモリ破損とサービス停止を実証したものの、信頼できるリモートコード実行の攻撃コードはまだ公に確認されていないと述べている。韓国インターネット振興院（KISA）は2026年10月26日、このGoogle Brotliの脆弱性に関するセキュリティ更新アドバイザリを公開していた。dailysecu.comが伝えている。
よくある質問
CVE-2026-111497の対応期限はいつですか？
CISAは米国の連邦文民機関に対し2026年11月10日までに修復するよう求めています。
どのBrotliのバージョンが影響を受けますか？
1.0.3から1.0.10未満、1.1.0から1.1.1未満、1.2.0から1.2.1未満です。
VMware Cloud Foundationは影響を受けますか？
ブロードコムはSDDC Managerが影響を受けると公表しています。2026年10月28日時点で完全な修正プログラムは準備中でした。