米CISA、Node2Shellの悪用について警告　ハニーポットで攻撃試行が検知される（CVE-2026-111497）

nosa

2026.10.29

[開く][閉じる]

米CISA、Node2Shellの悪用について警告　ハニーポットで攻撃試行が検知される（CVE-2026-111497）
ベラルーシ系ハッカーグループがロシアの代理部隊化を加速

米CISA、Node2Shellの悪用について警告　ハニーポットで攻撃試行が検知される（CVE-2026-111497）

SecurityWeek – October 28, 2026

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は27日、Brotliの脆弱性「Node2Shell」をKEV（悪用が確認済みの脆弱性）カタログに追加した。CISAは攻撃に関する詳細を明らかにしていないが、複数のセキュリティ企業のハニーポットで悪用試行が記録されているという。

「HTTP2Shell」または「Broccoli2Shell」とも呼ばれるこの脆弱性は、Googleが開発したデータ圧縮ライブラリ「Brotli」のデコーダにおける境界外書き込みの不具合とされている。CVE-2026-111497として追跡され、特別に細工した圧縮データでアプリケーションをクラッシュさせたり、メモリの内容を露出させたり、任意のコードを実行したりできる可能性がある。

27日にCVE-2026-111497の悪用試行を観測したと発表したのは、独自のセンサーネットワークを通じて悪用活動を監視しているインテリジェンスプラットフォームのPrevidianだ。攻撃元は米国内のIPアドレスだったようで、同社はこれを「confirmed」（確認済み）という確度で当該脆弱性の悪用と評価している。

また、大規模な攻撃活動を監視するサイバーセキュリティラボELLIOは、26日に同社センサーがx86-64システム上で動作するNode(.)js 24.22.0を狙った悪性リクエストを検知したと発表した。さらにその前日には、Brotli形式で圧縮されたデータを処理可能なホストを確認する目的で、ある公開ツールからBrotli圧縮データが同社センサーに送信されていたそうだ。

この攻撃の試みは、過去に脆弱性「PHP2Shell」を攻撃、あるいはパロアルトネットワークスやFortinetのVPN機器を調査していたIPアドレスから行われた模様。ELLIOによると、今回の攻撃で使用されたエクスプロイトには不備があり、脆弱なNode(.)js環境を対象とする50回のテストで一度もシェルを起動できなかったようだが、悪用の試みが失敗した場合、標的となったプロセスがクラッシュする可能性もあり、結果としてサービス拒否（DoS）攻撃につながる恐れがあると警告している。

さらに米企業Broadcomも27日、VMware Cloud FoundationおよびvSphere Foundationに含まれる「SDDC Manager」がNode(.)jsを使用している関係上、CVE-2026-111497の影響を受けると警告した。SDDC Manager 9.1.1における深刻度は「Critical」、CVSSスコアも9.8と評価され、バージョン9.0.x、9.1.0、および5.2.xについては深刻度が「Important」、CVSSスコアは7.5となっている。

デイリーサイバーアラート

AI

Silobreaker-CyberAlert

脆弱性

Brotliの重大な脆弱性「HTTP2Shell」の緊急パッチがリリース（CVE-2026-111497）

nosa

2026.10.27

AI

Silobreaker-CyberAlert

脆弱性

ベラルーシ系ハッカーグループがロシアの代理部隊化を加速

The Record – October 29th, 2026

サイバーセキュリティ企業ESETが28日にレポートを発表し、ロシアの利益に沿ったベラルーシ系ハッカーグループのサイバー活動が増加していると指摘した。

ESETによると、ベラルーシ系ハッカーグループとロシアの関係に「前例のない作戦上の連携」がみられるとのこと。前述のレポートには「ベラルーシに関連する脅威アクターの活動が活発化し、より大胆になっている。その活動の一部は、ウクライナにおけるロシアの諜報上の優先事項を色濃く反映している」と記された。

最も重大な動きに挙げられたのは、ベラルーシ系グループがウクライナの重要な製造企業に破壊的なサイバー攻撃を仕掛けた5月下旬の事例だった。この攻撃に関与したのは、ベラルーシの諜報機関に紐付けられた脅威アクター「GhostWriter」とされている。これまでウクライナやポーランドなど、近隣諸国へのサイバースパイ活動と影響力行使作戦に関与した疑いがあるグループだ。

ESETによると、ベラルーシ系グループがヨーロッパで破壊的なサイバー攻撃を行った事例を確認したのは今回が初めてであり、これまでの活動から一段階エスカレートしたことを示しているという。ハッカーらは侵害したシステムから情報を消去し、業務を停止させることができるデータ消去型マルウェア（ワイパー）を使用したようだが、純粋に被害を与えることを目的としていたのか、それともスパイ活動の痕跡を隠蔽するためだったのかは現時点で特定されていない。

動機が何であれ、今回の攻撃が「前例」になると指摘したESETの研究者チームは、ベラルーシに関連するほかの国家支援型ハッカーグループが同様のワイパー攻撃を行う可能性が高まったと述べている。同チームはさらに、ロシアが特に重視する組織を狙ったベラルーシ関連の別のスパイ活動も複数確認しており、ベラルーシ系グループがロシアの「代理部隊」あるいは「フォースマルチプライヤー（戦力増強要因）」としての役割をますます強めていると警鐘を鳴らした。

また、ESETは北朝鮮のハッカーがウクライナを標的としたサイバー攻撃を強化していることも突き止めている。