入会案内
メニュー

悪用報告あり2026年10月25日（日）

HTTP2Shell：リクエストとレスポンス双方のBrotliデコーダーを更新

CVE-2026-111497はCISAの悪用確認済み脆弱性カタログに追加されました。信頼できないBrotliデータを解凍する入口と外向きHTTPクライアントを確認してください。

PDFをダウンロード（繁体字中国語）該当する対策を見るセキュリティ速報に戻る
01

本文

カナダのサイバーセキュリティセンターによると、CISAは10月27日に同CVEを追加しました。GoogleのCNA評価はCVSS v4.0で9.2、Amazon LinuxはCVSS v3.1で8.1です。Node.jsはHighとし、10月21日に更新を公開しました。悪用には、脆弱なデコーダーが攻撃者の制御するBrotliデータを実際に解凍することが必要です。Impervaは公式Node.js 24.22.0のLinux arm64イメージで、リクエストとレスポンスの両方からコード実行を確認しました。24.22.1は同じ入力を拒否しました。

入口では、脆弱なデコーダーの手前でContent-Encodingにbrを含むリクエストを拒否します。大文字小文字や複数のエンコーディングも確認してください。外向きクライアントではAccept-Encodingからbrを除き、Brotli自動解凍を無効にするか、解凍前にbrレスポンスを拒否します。相手は合意なしにbrを返すことがあります。.NETとLambdaは公式情報に従い、自己完結型やコンテナの成果物は必要に応じて再ビルドします。

系列ごとの修正バージョン
  • Google Brotli 1.0.10 / 1.1.1 / 1.2.1
  • Node.js 22.23.4 / 24.22.1 / 26.12.1
  • Python brotli 1.2.1 / brotlicffi 1.2.1.0
  • Bun 1.4.4
  • Envoy 1.40.0 / 1.39.3 / 1.38.6 / 1.37.8 (legacy: 1.36.12)
  • Istio 1.31.2 / 1.30.6 (legacy: 1.29.9)
攻撃の流れ攻撃経路
  1. 01

    圧縮リクエストやレスポンスを送る

  2. 02

    脆弱なBrotliデコーダーを通過

  3. 03

    クラッシュ、メモリの露出、コード実行につながる

対応の流れ推奨する対応
  1. 01

    双方向の解凍経路を棚卸し

    Webサービス、クライアント、プロキシ、コンテナで実際に読み込むデコーダーを調べ、信頼できない入力を優先します。

    対応策を見る関連情報 1件

    TWISA会員企業の対策

    双方向の解凍経路を棚卸し

    Webサービス、クライアント、プロキシ、コンテナで実際に読み込むデコーダーを調べ、信頼できない入力を優先します。

  2. 02

    入口の圧縮リクエストを制限

    解凍前にbrを拒否し、バックエンドへの直接接続も確認します。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    入口の圧縮リクエストを制限

    解凍前にbrを拒否し、バックエンドへの直接接続も確認します。

  3. 03

    稼働中のコンポーネントを更新

    ランタイムとバインディングを更新し、コンテナや組み込みバイナリーを再ビルドして再配備します。

    対応手順を見る関連情報 3件

    対応方法・ガイダンス

    稼働中のコンポーネントを更新

    ランタイムとバインディングを更新し、コンテナや組み込みバイナリーを再ビルドして再配備します。

  4. 04

    双方向の経路を試験して復旧を確認

    許可された環境でリクエストとレスポンスを個別に試験し、WAFのアラート、遮断、バックエンドの結果を照合します。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    双方向の経路を試験して復旧を確認

    許可された環境でリクエストとレスポンスを個別に試験し、WAFのアラート、遮断、バックエンドの結果を照合します。

防御の構成多層防御

許可された業務通信のみを通し、各層で防御を行います。

  1. 01

    双方向の解凍経路を棚卸し

    Webサービス、クライアント、プロキシ、コンテナで実際に読み込むデコーダーを調べ、信頼できない入力を優先します。

  2. 02

    入口の圧縮リクエストを制限

    解凍前にbrを拒否し、バックエンドへの直接接続も確認します。

  3. 03

    稼働中のコンポーネントを更新

    ランタイムとバインディングを更新し、コンテナや組み込みバイナリーを再ビルドして再配備します。

各層のログと通信データを集約し、監視と対応に活用します。

  1. 双方向の経路を試験して復旧を確認許可された環境でリクエストとレスポンスを個別に試験し、WAFのアラート、遮断、バックエンドの結果を照合します。

TWISA会員企業の対策

  • 双方向の解凍経路を棚卸し

    Webサービス、クライアント、プロキシ、コンテナで実際に読み込むデコーダーを調べ、信頼できない入力を優先します。

  • 入口の圧縮リクエストを制限

    解凍前にbrを拒否し、バックエンドへの直接接続も確認します。 SkyWAFのヘッダーポリシーを利用できます。SkyCloudの特典は2026年12月31日までで、初回導入企業は導入前後の診断報告書を提出する必要があります。

  • 双方向の経路を試験して復旧を確認

    許可された環境でリクエストとレスポンスを個別に試験し、WAFのアラート、遮断、バックエンドの結果を照合します。

  • 入口の圧縮リクエストを制限 → Webの入口で仮想パッチを適用

    ImpervaとCheck Pointは本CVE向けの対策を公開しています。実際の経路で適用範囲と遮断を確認し、外向きのレスポンスは別に検証します。

  • 双方向の経路を試験して復旧を確認 → ホスト上の不審な挙動を検知

    デコーダー、疑わしいコマンド、外部接続を突き合わせ、対応可能な環境で影響のあるノードを隔離します。

  • 双方向の経路を試験して復旧を確認 → 侵害と認証情報への影響を調査

    アプリ、プロキシ、コンテナ、ホストのログを保全し、読み取り可能なデータや認証情報を調べ、更新とクリーンな復旧に備えます。

  • 双方向の解凍経路を棚卸し → データとサービスアカウントへのアクセスを制限

    解凍プロセスからアクセスできるデータ、鍵、認証情報を絞ります。

  • 双方向の経路を試験して復旧を確認 → デコーダーとプロセスの異常を突合

    両方向のデコーダーエラー、クラッシュ、プロセスの動き、不審な外部接続を突き合わせます。

出典・関連記事

速報更新日：2026/10/29。製品サポートと修正状況はメーカーの最新情報をご確認ください。