CVE-2026-111497: Node.js Brotliデコーダーの欠陥がリモートコード実行を可能に

Node.jsは、バンドルされたBrotli解凍コードにおける高深刻度の脆弱性であるCVE-2026-111497に対するセキュリティ更新をリリースしました。この欠陥は、特別に細工されたBrotli圧縮データを処理する際に脆弱なデコーダーによって引き起こされる境界外書き込みであり、潜在的にリモートコードの実行を可能にする可能性があります。

この問題は現行すべてのNode.jsブランチ—22.x、24.x、26.xに影響を与えます。Node.jsは2026年10月21日のセキュリティリリースの一環として、22.23.4、24.22.1、および26.12.1バージョンでこの脆弱性に対処しました。このリリースでは合計10個の脆弱性が修正されました。

このリスクは、Brotli圧縮がHTTPトラフィックで一般的に使用されるため、特に関連性が高いです。Node.jsアプリケーションは、node:zlibを介して脆弱なデコーダーを直接呼び出すか、またはfetch()がContent-Encoding: brを使用してレスポンスを受け取ると自動的に呼び出すことができます。したがって、攻撃者が制御するBrotli内容が受信要求、リモートレスポンス、プロキシワークフロー、または他のデータ処理経路を通じてデコーダーに届くたびに、アプリケーションは露出する可能性があります。

CVE-2026-111497の検出のために、セキュリティチームは、信頼されていない圧縮内容を処理するNode.jsアプリケーションを優先し、Brotli解凍の直後にクラッシュ、異常なメモリ動作、異常な子プロセス、および不審な活動を監視する必要があります。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、セキュリティチームが新たな脆弱性のエクスプロイトと関連するポストコンプロマイズ動作に対する監視を強化することを可能にし、SIEM、EDR、およびデータレイク技術に導入できる検出コンテンツがあります。

クリック 検出を探索 関連する検出コンテンツとハンティングロジックにアクセスします。CVE-2026-111497を検出するには、ディフェンダーはNode.jsアプリケーションテレメトリをエンドポイント、プロキシ、ウェブ、およびネットワークのアクティビティと相関させ、圧縮HTTPトラフィックに関連する不審な動作を特定する必要があります。

セキュリティチームは、さらにPrime Architectを活用して、新しい脆弱性インテリジェンスをSigmaルールとハンティングクエリに変換し、検出ロジックを検証し、サポートされているセキュリティプラットフォームに関連する検出コンテンツを変換することができます。

セールスに連絡

CVE-2026-111497の分析

この脆弱性は、Node.jsとともにバンドルされたBrotliデコーダーに存在します。Brotliはウェブコンテンツサイズを削減するために広く使用されている圧縮アルゴリズムであり、Node.jsにはライブラリの独自のコピーが含まれています。

不正な圧縮ストリームは境界外書き込みを引き起こす可能性があり、デコーダーは解凍データのために割り当てられたメモリバッファ外に書き込むことができます。アップストリームの修正はデコーダーを変更し、無効な入力が不正なメモリ書き込み条件に至る実行を続ける代わりに早期に拒否されるようにしました。

CVE-2026-111497は、10月21日のセキュリティリリース前のNode.js 22.x、24.x、26.xに影響を与えます。修正バージョンは以下のとおりです：

• Node.js 22.23.4
• Node.js 24.22.1
• Node.js 26.12.1

Node.js 20.xおよびそれ以前のリリースはサポート終了に達しており、セキュリティ更新を受け取らないため、これらのバージョンを使用する組織はサポートされているブランチに移行する必要があります。

根本的な問題はNode.jsに限定されません。この脆弱なコードはBrotliプロジェクト自体から来ており、対応する修正はBrotli 1.0.10、1.1.1、および1.2.1でリリースされました。Node.jsを使用していなくても、脆弱なBrotliバージョンを埋め込んでいる他のアプリケーションも個別の更新が必要になる可能性があります。

攻撃の表面は、圧縮データがアプリケーションに到達する経路に依存します。Brotli解圧APIの直接使用は明らかなルートの一つです。しかし、Node.jsは、アプリケーションがfetch()を使用する際にBrotli圧縮HTTPレスポンスを自動的に処理することもできます。

このため、攻撃者制御のコンテンツを取得するアプリケーションが特に関連しています。例としては、URLプレビューサービス、クローラー、Webhookプロセッサー、プロキシプラットフォーム、コンテンツスキャナー、変換サービス、およびユーザーがリモートURLを提出できるアプリケーションが含まれます。

インバウンドトラフィックは、ウェブアプリケーションまたはミドルウェアがBrotli圧縮リクエストボディを受け入れる別のパスを作成できます。したがって、セキュリティチームは、ソースコード内の明示的なBrotli呼び出しに対する露出評価に限定するのではなく、実際のアプリケーションデータフローを調査する必要があります。

CVE-2026-111497の詳細は、問題が単なるサービスクラッシュを超えた結果を招く可能性がある理由を示しています。メモリの破損はプロセスの状態に影響を与える可能性があり、プラットフォームの保護や実行環境によっては、メモリ開示または任意のコード実行につながる可能性があります。

Node.jsはこの脆弱性がリモートコードの実行を可能にすると明示的に述べていますが、その実質的なエクスプロイト可能性にはニュアンスが必要です。Node.jsプロジェクトによりこの欠陥は重要ではなく高と評価されています。

公開されたCVE-2026-111497のPoCは、故意に弱体化されたテストビルドに対してコードの実行を達成しました。標準のNode.jsビルドに対しては、研究者はクラッシュと制限されたプロセスメモリ開示を報告しましたが、信頼できるコードの実行は達成しませんでした。これは、メモリ破損の基礎が示されている一方で、通常のプロダクションビルドに対する成功したRCEが追加のエクスプロイト条件に依存することを意味します。

修正されたNode.jsバージョンは、デモで使用された不正なコンテンツを拒否します。2026年10月22日現在、野生でのエクスプロイトは報告されていませんでした。

したがって、特定のキャンペーンに特有のCVE-2026-111497のIOCs、悪意のあるIPアドレス、ドメイン、ペイロードハッシュ、または確認されたエクスプロイト要求シグネチャは、引用された調査で公開されていません。

セキュリティチームは、代わりに次のような行動指標に焦点を当てるべきです：

• 圧縮トラフィックを処理するNode.jsサービスの予期しないクラッシュ
• セグメンテーションフォールトまたはネイティブデコーダーエラー
• 異常なメモリ保護またはエクスプロイト防止警告
• Node.jsがシェルやコマンドインタープリタをスポーンする
• Brotli処理直後の異常なアウトバウンド接続
• 不慣れなソースからの不審な圧縮要求
• 信頼されていないインフラストラクチャに到達するサーバーサイドfetch()活動
• Node.jsサービスアカウントからの予期しないファイルまたはプロセスの変更

2026年10月21日のNode.jsリリースにおいても、TLSホスト名検証とDNS処理に関連する高深刻度の問題が追加で修正されました。CybersecurityNewsは、このリリースをBrotli欠陥に専念するのではなく、広範なランタイムセキュリティアップデートとして扱うべきであると指摘します。

同じリリースは、eMudhra証明書機関の妥協に続いて、証明書信頼情報を更新しました。これにより、単一の修正のみをバックポートしようとするのではなく、アップグレードの価値がさらに増します。

CVE-2026-111497の緩和策

主なCVE-2026-111497緩和策は、すべてのサポートされているNode.jsインストールを修正済みバージョンにアップグレードすることです：

• 22.x → 22.23.4以降
• 24.x → 24.22.1以降
• 26.x → 26.12.1以降

Node.jsプロジェクトは、Brotli脆弱性に対する同等の一時的なランタイムワークアラウンドを提供していないため、アップグレードが信頼できる修正方法です。

ランタイムを更新した後、管理者は影響を受けたすべてのNode.jsサービスを再起動するべきです。長時間実行されているプロセスは再起動されるまで古いランタイムを使用し続けます。

コンテナ化されたワークロードは追加の注目が必要です。CybersecurityNewsは、展開されたアプリケーションが修正済みNode.jsランタイムを含むように、特にコンテナイメージを再構築することを推奨しています。基盤となるホストでNode.jsを更新しても、すでにコンテナイメージ内に埋め込まれた脆弱なランタイムは置き換えられません。

Brotliを独自に使用する組織も脆弱なライブラリバージョンを更新する必要があります。ソフトウェアインベントリとSBOMが、ネイティブアプリケーション、アプライアンス、開発ツール、およびサードパーティのパッケージに埋め込まれたコピーを特定するのに役立ちます。

即時のアップグレードが不可能な場合、組織は一時的に攻撃表面を減らすことができます：

• 必要ないところでのBrotli圧縮されたリクエストボディの拒否
• 信頼された宛先へのサーバーサイドHTTPリクエストの制限
• ユーザーが任意のリモートURLを供給するのを防ぐ
• 脆弱なワークロードのアウトバウンド接続を制限
• 運用上実行可能な場合、オプションのBrotli処理を無効化
• アプリケーションのクラッシュやメモリ関連のエラーを注意深く監視
• Node.jsによって起動された異常な子プロセスを精査

Vercelは、着信要求を通じて到着する悪意のあるBrotliデータをブロックするためのファイアウォール保護を導入しました。しかし、The Hacker Newsは、そのルールは外部サーバーから悪意のあるBrotliレスポンスをインディペンデントに取得するアプリケーションを保護しないと指摘し、WAFフィルタリングがランタイムのアップグレードの代替としてはならない理由を示しています。

管理者は、パッチ適用後のプロダクションワークロードで実際に使用されているランタイムを確認する必要もあります。パッケージマネージャーの出力だけでは、古いNode.jsバイナリがコンテナ、サーバーレスバンドル、パッケージ化されたアプリケーション、または手動でインストールされたランタイムディレクトリ内に残っている場合、十分ではありません。

エクスプロイトが疑われる場合、対応者は影響を受けたワークロードを隔離し、アプリケーション、エンドポイント、プロキシ、ネットワークのテレメトリを保存するべきです。クラッシュダンプは、この脆弱性がプロセスメモリに直接影響を与えるため、特に価値があります。

セキュリティチームは次を調査すべきです：

• 予期しないNode.jsの子プロセス
• 新しく作成されたファイルや永続化のメカニズム
• 異常なアウトバウンド接続
• アプリケーションまたはデプロイメント構成の変更
• 環境変数で利用可能なクレデンシャルとシークレット
• Node.jsプロセスにアクセス可能なAPIキー、トークン、およびクラウドクレデンシャル
• アプリケーションのサービスIDを使用して到達可能なバックエンドデータストア

制限されたプロセスメモリ開示が示されているため、疑わしいエクスプロイト活動が特定された場合、攻撃者が制御するコードの実行を最終的に証明できない場合でも、脆弱なアプリケーションのメモリに存在するシークレットは潜在的に暴露されたと考慮されるべきです。

組織は、影響を受けたサービスに割り当てられた特権も確認すべきです。最低限の特権コンテナのエクスプロイトの成功は、クラウドのクレデンシャル、データベースの管理アクセス、CI/CDトークン、またはデプロイメント許可を持つNode.jsプロセスのエクスプロイトとは異なる結果をもたらします。

SOC Primeの顧客は、脆弱性のエクスプロイトと関連する攻撃者の活動を特定するために、行動ベースの検出コンテンツを利用できます。

免責事項： 検出コンテンツはすべてのCVEに対して利用可能とは限りません。現在のカバレッジについてはSOC Prime Platformを確認してください。関連する検出がまだ利用可能でない場合、新しい脅威インテリジェンスおよび検出コンテンツが継続的に追加されているため、再度確認してください。