Brotliの重大な脆弱性「HTTP2Shell」の緊急パッチがリリース（CVE-2026-111497）

Brotliの重大な脆弱性「HTTP2Shell」の緊急パッチがリリース（CVE-2026-111497）

BleepingComputer – October 26, 2026

Node(.)jsに組み込まれているC言語版Brotliデコーダライブラリの重大な欠陥に対し、マイクロソフトが25日に緊急セキュリティアップデートをリリースした。「HTTP2Shell」と名付けられたこの脆弱性を悪用されると、脆弱なバージョンの.NETが導入されているシステムで権限昇格が発生し、プロセスのクラッシュやメモリの破損、機微データへのアクセスなどを許す恐れがあるという。

BrotliはGoogleが開発・保守を行うオープンソースの可逆データ圧縮プロジェクトで、元のデータに影響を与えることなくファイルを圧縮し、より高速な転送を可能にする。このセキュリティ上の問題はCVE-2026-111497として追跡され、バッファオーバーフローの一種と説明されている。

対応が必要なバージョンは1.0.3〜1.0.9、1.1.0、1.2.0だが、その影響はHTTP/2に限定されるものではなく、攻撃者が制御可能なBrotliデータを展開するほかのアプリケーションにも及ぶ可能性がある模様。脆弱なBrotliデコーダが設定されている場合は、PythonのHTTPクライアント（urllib3[brotli]、requests、httpx、aiohttp[speedups]など）や、脆弱なBrotliを利用するその他のアプリケーションまたはツールに影響が及ぶ可能性もあるようだ。

HTTP2Shellに関するPoCコードはすでに公開されているものの、現時点で攻撃に悪用された報告は入っていないそう。アップストリームへの修正パッチは2月に同プロジェクトのソースコードへコミットされていたが、10月21日にNode(.)jsとGoogleが安定版の修正をリリースし、翌日に一般公開していた。また、修正が適用されたPyPIパッケージも10月23日に公開されている。

Fortinet、AI活用して発見されたFortiOSの重大な脆弱性を修正

Help Net Security – October 26, 2026

Fortinetは先週、FortiOS、FortiManager、FortiAnalyzer、FortiMail、およびFortiAuthenticatorを対象とするセキュリティ強化アップデートをリリースした。ただし、修正された脆弱性の詳細については、2026年11月10日まで非公開とされている。

今回の事前告知の中で、Fortinetはこれらの脆弱性がAIモデルを活用して発見された後、人間によって検証されたものだと説明。さらにAIを使うことで、一見無関係に見える深刻度の低い複数の脆弱性を組み合わせ、より深刻で悪用可能な脆弱性に変えることが可能だと警告した。

セキュリティテストのプロセスにおいては、Fortinetのオンプレミス環境で稼働するAIモデルに加え、最先端のAIモデルを数か月前から活用しているという。このアプローチによって発見された「悪用可能な脆弱性」は少なかったようだが、その大部分は自社のソースコード（通常は攻撃者がアクセスできないもの）に対してAIモデルを適用した際に得られたそうだ。

30の製品ファミリーを対象に100回以上のテストを実施した結果、発見事項の内訳は脆弱性が約40％、誤検知が約30％、セキュリティ向上のための改善の機会（悪用可能な欠陥ではないもの）が約30％だったとされている。Fortinetのデバイスは攻撃者から頻繁に狙われており、今回修正された脆弱性には同社が深刻度を「重大（Critical）」または「高（High）」と評価したものが含まれる。

関連資料をダウンロード

グローバル脅威インテリジェンスレポート2026

Flashpoint『グローバル脅威インテリジェンスレポート2026』は、AI・インフォスティーラー・脆弱性・ランサムウェアが互いに結びついて進化する、今日のハイブリッドな脅威の全体像を解説したレポー...

資料ダウンロード