Node2Shell脆弱性、安全に確認する診断スクリプト公開
エンキホワイトハットが2026年10月27日、Node.jsの脆弱性Node2Shell（CVE-2026-111497）を安全に確認する診断スクリプトを公開した。攻撃入力を送らず内部情報から判定する。
セキュリティ企業のEnki WhiteHatは2026年10月27日、Node.jsの脆弱性「Node2Shell」（CVE-2026-111497）の影響を調べるための社内診断スクリプトを公開した。dailysecu.comが伝えている。
Node2Shellは、脆弱なバージョンのNode.jsに搭載されたBrotliデコーダーが、細工された圧縮データを処理する際に内部バッファの境界を越えて書き込む問題に起因する。プロセスのクラッシュやメモリ開示、リモートコード実行によるサーバー乗っ取りにつながる可能性がある。
影響を受けるのは、セキュリティパッチ未適用のNode.js 22.x、24.x、26.xに加え、サポート終了となった20.x以下および21.x、23.x、25.x。
攻撃入力を送らずに判定
公開されたスクリプトは攻撃用の入力を送信せず、稼働中のNodeプロセスやパッチに関連する定数といった内部の証拠を読み取って判定する。診断結果は「パッチ適用済み」「脆弱の疑い」「入力経路の確認が必要」の3種類で示される。
スクリプトは、利用者のオペレーティングシステム向けに専用の診断ページ（
よくある質問
Node2Shellの影響を受けるNode.jsのバージョンは？
セキュリティパッチ未適用の22.x、24.x、26.xに加え、サポート終了の20.x以下と21.x、23.x、25.xが該当する。
診断スクリプトはどこから入手できますか？
専用の診断ページ から、利用者のOS向けのものをダウンロードできる。
診断結果はどのように表示されますか？
「パッチ適用済み」「脆弱の疑い」「入力経路の確認が必要」の3種類で示される。