Brotliは、Googleが開発したオープンソースのロスレスデータ圧縮アルゴリズムです。2015年に公開され、HTML、CSS、JavaScriptなどのWebコンテンツの圧縮に最適化されています。gzipと比較して、より高い圧縮率を実現し、Webページの表示速度向上や帯域幅の節約に貢献します。現在、主要なWebブラウザのほとんどがBrotliに対応しており、WebサーバーやCDN（コンテンツデリバリーネットワーク）でも広く利用されています。その効率性の高さから、現代のWebインフラストラクチャに不可欠な技術の一つとなっています。
このBrotliに、深刻な脆弱性「CVE-2026-111497」、通称「HTTP2Shell」が発見されました。この脆弱性は、Brotliデコーダーにおける「境界外書き込み（out-of-bounds write）」という種類の問題です。攻撃者は、細工されたBrotliデータを送信することで、プログラムのメモリを不正に書き換え、クラッシュさせたり、機密情報を漏洩させたり、さらには任意のコードを実行させたりする可能性があります。この脆弱性は、Google Brotliライブラリのバージョン1.0.3から1.2.0に影響があり、CVSS v4.0スコアで9.2という極めて高い危険度と評価されています。
この「HTTP2Shell」脆弱性は、Brotliデコーダーを利用している多くのソフトウェアやプラットフォームに影響を及ぼします。具体的には、Node.js、Microsoftの.NET、Pythonの関連パッケージ、Bun、Envoy Proxy、Istioなどが挙げられます。これらのソフトウェアは、Webサーバー、APIクライアント、プロキシなど、様々な場面でBrotliの圧縮・解凍機能を利用しています。すでにNode.jsやMicrosoft .NET、Python関連パッケージでは緊急のセキュリティアップデートが公開されており、該当するソフトウェアを利用している場合は、速やかに最新バージョンへアップデートすることが強く推奨されています。攻撃はまだ確認されていませんが、概念実証（PoC）コードも存在するため、迅速な対応が不可欠です。
BrotliはWebの高速化に貢献する重要な技術ですが、今回発見された「HTTP2Shell」脆弱性は、その普及ゆえに広範囲なシステムにリスクをもたらしています。幸い、主要なベンダーは迅速なパッチ提供を進めており、システム管理者は速やかなアップデートと影響範囲の確認を行うことで、この脅威からシステムを保護することができます。セキュリティは常に進化しており、利用する技術の脆弱性動向を注視することが重要です。