Googleが開発したデータ圧縮形式Brotliのデコーダーに、CVSS v4.0スコア9.2の深刻な脆弱性「CVE-2026-111497（HTTP2Shell）」が発見されました。悪意のあるBrotli圧縮データを処理するとメモリ破壊を引き起こし、最悪の場合リモートコード実行につながるおそれがあります。本記事では、影響を受ける環境や危険性の理由、緊急のアップデート手順と具体的な対策について詳しく解説します。
HTTP2Shell（CVE-2026-111497）とは？Brotliデコーダーの深刻な脆弱性を解説
データ圧縮形式として広く利用されているBrotliのデコーダーにおいて、極めて深刻な脆弱性「CVE-2026-111497」が発見されました。この脆弱性は「HTTP2Shell」と呼ばれており、CVSS v4.0の評価スコアで9.2（Critical）という非常に高い危険性が指定されています。BrotliはGoogleによって開発された高品質な圧縮アルゴリズムで、Webにおけるコンテンツ転送の効率化に広く貢献してきました。しかし、その解凍処理を行うデコーダー部分の実装にメモリ管理上の重大な不備が存在していたことが判明したのです。
本脆弱性は当初、Node.js環境での発覚をきっかけに「Node2Shell」と命名されていました。しかしその後の調査により、PythonやBun、Envoy、Istioなど、Brotliデコーダーを組み込んで利用している多種多様なライブラリやミドルウェア、アプリケーションに広範な影響が及ぶことが明らかになりました。この広がりを受けて、Webスタック全体に影響を与える脅威として「HTTP2Shell」という呼称が一般的に使われるようになりました。Googleの圧縮形式「Brotli」に深刻な脆弱性「HTTP2Shell」、Web関連に幅広く影響 – 窓の杜などの報道でも詳しく取り上げられています。
ここで誤解してはならない重要なポイントは、この脆弱性がHTTP/2プロトコルそのものの仕様上の欠陥ではないということです。あくまで、Brotli圧縮ライブラリ（バージョン1.0.3から1.2.0）の実装におけるメモリ破壊問題に起因しています。名称に「HTTP2」と入っているためプロトコルの脆弱性と混同されがちですが、本質はデータ解凍処理におけるプログラムコードの不具合です。Webアプリケーションの開発者やインフラエンジニアは、自身が運用するシステムがBrotliデコーダーを内部で呼び出しているかどうかを正しく把握することが求められます。
なぜ「HTTP2Shell」が危険なのか？リモートコード実行（RCE）のリスクと影響範囲
HTTP2Shellがこれほどまでに警戒される最大の理由は、認証されていないリモートの第三者によって任意のコードを実行（RCE: Remote Code Execution）される恐れがあるためです。攻撃者が特別に細工した悪意のあるBrotli圧縮データを送信した場合、脆弱性のあるデコーダーがそのデータを処理する過程でメモリ破壊を引き起こします。これにより、対象のアプリケーションを強制終了（クラッシュ）させてサービス不能状態（DoS）に陥らせるだけでなく、メモリ内部の機密情報を漏洩させたり、サーバー上で攻撃者の任意のコマンドを実行させたりすることが可能になります。
具体的な攻撃シナリオとして特に危険視されているのは、Webサーバーがリクエストボディを受け取るケースです。クライアントから「Content-Encoding: br」ヘッダーとともにBrotli圧縮されたリクエストボディが送られてきた場合、サーバー側でそれを自動的に解凍する処理が行われると、一発で脆弱性が突かれてしまう可能性があります。また、アプリケーションが外部サービスと連携するケースも注意が必要です。例えば、Webhookの受信処理、URLプレビューの生成、Webスクレイピング、クローラーなど、外部サーバーから「Accept-Encoding: br」を用いてフェッチしたレスポンスを解凍する処理がある場合、悪意ある外部サーバーと通信しただけで攻撃が成立する危険性があります。
一方で、セキュリティコミュニティからは冷静な分析も出されています。Broccoli2shell: Everything You Need To Know About The Critical Brotli Decoder Vulnerability | Wiz Blogなどで報告されている通り、すべてのWebサーバーがただちに直接的な被害を受けるわけではありません。実際のWebサーバー環境では、デフォルトでリクエストボディのBrotli解凍を有効化していないケースも多いためです。しかし、クライアントとして外部のレスポンスをフェッチして解凍する処理を実装しているアプリケーションでは、非常に高いリスクに晒されることになります。したがって、「自分のサーバーはBrotliを出力（エンコード）しているだけだから安心」と鵜呑みにせず、解凍（デコード）処理を行っている箇所がないか慎重に検証する必要があります。
Node.jsやPythonも影響？主要環境におけるHTTP2Shellの対策とパッチ適用手順
HTTP2Shellへの対策として最も確実かつ効果的な方法は、影響を受けるソフトウェアやライブラリを速やかに修正済みの安全なバージョンへとアップデートすることです。一次情報や各ディストリビューションのセキュリティアドバイザリを確認し、速やかにパッチを適用してください。
- Node.js: 22.23.4、24.22.1、または26.12.1以降の修正版にアップグレードする。
- Python: 「Brotli」パッケージは1.2.1以降に、「brotlicffi」パッケージは1.2.1.0以降にアップグレードする。
- Bun: 1.4.4以降にアップグレードする。
- Envoy Proxy: 1.40.0、1.39.3、1.38.6、1.37.8、またはそれ以降のサポート対象リリースにアップグレードする。
- Istio: 1.29.9、1.30.6、1.31.2へアップデートする（1.29系はサポート終了のため、1.30以降への移行を推奨）。
- Brotli Cライブラリ単体: 1.0.10、1.1.1、または1.2.1に更新する。
パッケージの更新だけでなく、デプロイ基盤や依存関係の全体的な見直しも不可欠です。例えばDockerなどのコンテナ環境を使用している場合は、ベースイメージの更新とコンテナの再構築を行い、リビルドしたイメージを本番環境へ再デプロイする必要があります。また、package-lock.jsonやPipfile.lockといった依存関係のロックファイルを更新し、推移的依存関係（サードパーティライブラリが内部で依存しているBrotliライブラリ）も含めて古いバージョンが残らないように確実に差し替えてください。詳しい対応方法についてはHTTP2Shellとは？Brotliの脆弱性と対策を解説などの解説情報も参考になります。
もしシステムの制約上、すぐにアップデートを適用することが難しい場合には、一時的な緩和策を実施することが推奨されます。具体的には、WAF（Web Application Firewall）やリバースプロキシの設定で「Content-Encoding: br」を含むリクエストボディを一時的にブロック拒否する方法や、HTTPクライアントの設定から「Accept-Encoding: br」ヘッダーを削除してBrotli圧縮形式でのレスポンス要求を取りやめる方法があります。ただし、これらはあくまで急場しのぎの応急処置であり、完全な防御にはパッチ適用が必須であることを忘れてはなりません。
命名に関する誤解と開発者の反応！「-2Shell」と呼ばれる理由とは？
HTTP2Shellの発見直後から、エンジニアが集まる各種コミュニティ（Redditのr/cybersecurityやr/programming、Hacker Newsなど）では非常に活発な議論が交わされました。特にPythonのメジャーなパッケージも影響を受けることが判明した際には、「Fuck me.」「Noooooooo.」といった驚きと焦りの声が相次いで投稿されました。「If you run a python server, you should update it right now」（Pythonサーバーを動かしているなら今すぐ更新すべきだ）といった危機感を伝える呼びかけが広く共有されています。
その一方で、今回の脆弱性命名に関しては技術的な正確性を巡る疑問の声も多く上がりました。「HTTP2Shell」という名称が、まるでHTTP/2プロトコルそのものに欠陥があるかのような誤解を招くためです。コミュニティのユーザーからは「GoogleのBrotliライブラリのバグなのだから、googlebrotli2shellのような名称にするべきだった」という批判的な意見や、Google側が修正コードを作成してから実際にリリースに含めるまで約8ヶ月間も放置していたのではないかという対応への疑問の声も見られました。海外の技術コミュニティにおけるやり取りはRedditのセキュリティ議論スレッドなどで確認できます。
また、「なぜセキュリティ脆弱性にはよく〜2Shellという名前が付けられるのか？」という点も話題となりました。これに対する回答として、リモートコード実行（RCE）の脆弱性を悪用する攻撃（エクスプロイト）では、攻撃者が対象のサーバーを乗っ取った後にコマンド操作を行うための「インタラクティブシェル（BashやShなど）」を立ち上げることが定番の手口であるためです。「〜への攻撃からシェル（Shell）権限を奪取できる」という意味合いから、近年の重大なRCE脆弱性には「-2Shell」や「Shell」が付く命名が定着しているという豆知識的な背景があります。なお、クリエイター向けプラットフォームであるPixivなどの一般向けコミュニティでは本脆弱性の話題は見られず、開発者・専門家層を中心に情報共有が行われている状況です。
HTTP2Shell脆弱性にどう備える？今すぐ実行すべきセキュリティ対策のまとめ
今回発見されたBrotliデコーダーの脆弱性「HTTP2Shell（CVE-2026-111497）」は、Webスタックの広範囲に影響を与える重大なセキュリティ脅威です。自社システムや管理アプリケーションの安全を確保するために、今すぐ取り組むべき5つのポイントをまとめました。
- 使用環境の洗い出しと影響確認: Node.js、Python、Bun、Envoy、Istioなど、Brotliデコーダー（ver 1.0.3〜1.2.0）を組み込んでいる環境がないか網羅的に調査する。
- パッチの迅速な適用: 各言語・ミドルウェアの修正済み最新バージョンへ速やかにアップデートを実施する。
- 依存関係とコンテナの再構築: ロックファイルの更新およびDockerイメージ等のビルドをやり直し、最新のライブラリが読み込まれるようにサービスを再起動する。
- 応急処置としての緩和策導入: すぐにパッチが当てられない場合は、WAFで Content-Encoding: br リクエストを拒否するか、Accept-Encoding から br を除外する。
- 解凍（デコード）処理のセキュリティチェック: クローラーやWebhook処理など、外部からのBrotli圧縮データを解凍する処理を重点的に監視・防御する。
システム開発や運用に携わる皆様は、本記事の情報を活用して速やかに自社環境の点検を行い、必要なアップデートとセキュリティ設定を完了させてください。最新の脆弱性情報を日頃からキャッチアップし、早期対応できる体制を整えておくことが、サイバー攻撃から重要なデータとシステムを守る鍵となります。
