Googleが開発したデータ圧縮ライブラリ「Brotli」のC言語実装において、境界外書き込みの脆弱性（CVE-2026-111497）が発見されました。この問題は、攻撃者が細工したBrotli形式の圧縮データを展開させることで、メモリの破損、アプリケーションの異常終了、情報の漏えい、さらには任意のコード実行を招く恐れがあります。当初はNode.jsとの関連から「Node2Shell」と呼ばれていましたが、HTTP通信で広く利用されるライブラリであることから、現在は「HTTP2Shell」とも呼称され、その影響範囲の広さが警鐘を鳴らしています。
影響範囲は非常に多岐にわたります。対象となるBrotliのバージョンに加え、Node.js、Bun、Python向けのBrotliパッケージなどが含まれます。また、Microsoft製品にも影響が及んでおり、「.NET」（8、9、10、および11 RC3）向けに定例外のセキュリティ更新がリリースされました。Visual StudioやPowerShellも対象です。ただし、Windows専用の「.NET Framework」は影響を受けません。また、.NETでは一部の機能が既定で無効化されていますが、APIを直接利用している場合は注意が必要です。
対策として、Googleは修正済みのBrotliバージョンを公開しています。開発者は速やかに最新版を適用してください。Microsoft製品を利用している場合は、公開された最新のセキュリティ更新プログラムをインストールし、アプリケーションを再起動することが推奨されます。特に、ランタイムを同梱した自己完結型のアプリケーションやコンテナを利用している場合は、更新済みのランタイムで再ビルドや再デプロイを行う必要があるため、個別の対応が求められます。緩和策は提供されていないため、速やかな修正が不可欠です。
Brotliの脆弱性「HTTP2Shell」は、Web通信の基盤となる技術に関わる深刻な問題です。Node.jsや.NETなど、多くの開発環境や実行環境が影響を受ける可能性があるため、開発者やシステム管理者は、利用している製品のバージョンと脆弱性への対応状況を至急確認することが重要です。