2026年10月、Webサイトや業務システムで広く使われているPHPに重大なセキュリティ問題が発見されました。
ところが今度は、Googleが開発したデータ圧縮技術「Brotli（ブロトリ）」にも重大な脆弱性が発見されたのです。
2026年10月26日には、国内のセキュリティ機関であるJPCERT/CCも注意喚起を発表しました。
「そもそもBrotliって何？」
「Googleのサービスを使っていると危険なの？」
「自社のWebサイトや業務システムにも影響するの？」
今回は、DX担当のちゃま男と先輩の会話を交えながら、Brotliの脆弱性と企業が知っておきたい対策について、身近な例を使って解説していきます！
そもそもBrotliって何？
DX担当 ちゃま男先輩！この前はPHPのセキュリティ問題がありましたけど、今度はGoogleが開発した「Brotli」に重大な欠陥が見つかったそうですよ！
ちゃま男の先輩そうなんだ。今回はBrotliという、Webサイトやアプリケーションなどで使われるデータ圧縮技術に問題が見つかったんだよ。
DX担当 ちゃま男ブロトリ……？初めて聞きました！
何に使われているんですか？
ちゃま男の先輩例えば、Webサイトを表示するときには、サーバーから文字やプログラムなど、さまざまなデータが送られてくるよね。
そのデータを小さくして、効率よく送受信するために使われる技術の一つがBrotliなんだ。
身近な例で考えてみましょう！
例えば、旅行に行くとき、たくさんの衣類を圧縮袋に入れてコンパクトにすることがありますよね。
衣類の量は変わらなくても、圧縮することで荷物を小さくできます。
そして、旅行先で圧縮袋を開ければ、元の衣類を取り出すことができます。
Brotliも基本的にはこれと似た仕組みです。
データを小さく圧縮して送信し、受け取った側で元のデータに戻します。
これによって通信量を減らし、Webサイトの表示を効率化することができます。
DX担当 ちゃま男なるほど！インターネットの通信を効率よくするための技術なんですね！
ちゃま男の先輩その通り。
しかもBrotliは、さまざまなソフトウェアに組み込まれているから、利用者がその存在を知らないことも多いんだよ。
今回見つかった重大な脆弱性とは？
2026年10月21日、GoogleはBrotliのC言語による実装に存在する脆弱性「CVE-2026-111497」への修正版を公開しました。
この問題は「Node2Shell」や「HTTP2Shell」とも呼ばれています。
問題が見つかったのは、データを圧縮する処理ではなく、**圧縮されたデータを元に戻す「展開処理」**の部分です。
攻撃者が特殊な細工をした圧縮データを送り、脆弱性のあるソフトウェアがそれを展開すると、コンピューター内部のメモリが破損する可能性があります。
その結果、条件によっては次のような問題が発生するおそれがあります。
- システムが異常終了して使えなくなる
- メモリ上にある重要な情報が漏えいする
- 攻撃者によって不正なプログラムを実行される
今回の問題については、2026年10月27日に米国CISAが、実際の悪用が確認された脆弱性の一覧にも追加しています。
先ほどの圧縮袋で例えてみると……
先ほど、Brotliは圧縮袋のような仕組みだと説明しました。
今回の問題は、圧縮袋そのものではなく、圧縮された荷物を開ける機械に欠陥があったようなものです。
通常の荷物であれば問題なく開けられます。
しかし、特殊な細工をされた荷物を開けようとすると、機械が故障したり、想定外の動作をしたりする可能性があるのです。
DX担当 ちゃま男えっ！じゃあ、悪意のあるデータを受け取っただけで危険なんですか？
ちゃま男の先輩正確には、受け取ったデータを、問題のあるBrotliのプログラムで展開する場合に危険が生じるんだ。
だからBrotliを使っているというだけで、すべてのシステムが攻撃されるわけではないよ。
大切なのは、外部から受け取った圧縮データを、どのような仕組みで処理しているかなんだ。
Googleの問題なのに、なぜ他のシステムにも影響するの？
DX担当 ちゃま男でも先輩、Googleが開発した技術の問題なら、Googleのサービスだけ気をつければいいんじゃないですか？
ちゃま男の先輩実はそうではないんだ。
BrotliはGoogleが開発した技術だけど、誰でも利用できる形で公開されているんだよ。
そのため、いろいろな会社が開発したソフトウェアにも組み込まれているんだ。
例えば、自動車で考えてみよう！
自動車は、エンジンやブレーキ、センサーなど、多くの部品を組み合わせて作られています。
もし、複数の自動車メーカーが採用している共通部品に重大な欠陥が見つかったらどうなるでしょうか？
当然、その部品を使用しているさまざまなメーカーの車に、影響が広がる可能性があります。
ソフトウェアも同じです。
一つのシステムを作るために、他の企業や開発者が提供しているプログラムを組み込むことは珍しくありません。
こうした再利用可能なプログラムの部品を「ライブラリ」と呼びます。
今回のBrotliの脆弱性も、このライブラリに関係する問題なのです。
影響を受ける可能性がある主なソフトウェア
今回の脆弱性は、Brotliを利用する複数の製品に影響が及ぶことが確認されています。
例えば、次のようなソフトウェアです。
- Node.js：WebシステムやAPIサーバーなどに使用される
- Python向けBrotliパッケージ：データ処理やWebアプリケーションなどで使用される
- .NET：業務システムやWebアプリケーションなどに使用される
- Bun：JavaScriptなどのプログラム実行環境
- Envoy Proxy・Istio：システム間の通信を管理する仕組み
ただし、これらを使用しているだけで、必ず脆弱性を悪用されるわけではありません。
製品のバージョンや、Brotli圧縮データを展開する機能の利用状況などによって、影響が異なります。
DX担当 ちゃま男なるほど！Googleの技術がいろいろなシステムに組み込まれているから、影響が広がる可能性があるんですね！
ちゃま男の先輩そうなんだ。
だから、今回のニュースを「Googleのサービスだけの問題」と考えてはいけないんだよ。
中小企業でも起こり得る！具体的なトラブル事例
ここでは、Brotliの脆弱性によって企業で起こり得るケースを紹介します。
※以下は仕組みをわかりやすくするための想定事例であり、実際に発生した被害事例ではありません。
事例① 外部システムとのデータ連携で問題が発生
ある製造会社では、外部のシステムからデータを取得し、自社の生産管理システムに取り込む仕組みを使っていました。
データの送受信を効率化するため、受信したBrotli形式の圧縮データを展開する処理が組み込まれていました。
ところが、その処理に脆弱性のある古いライブラリが使用されていたとします。
もし、攻撃者が細工した圧縮データを、その処理に読み込ませることができた場合、システムが異常終了するなどの問題が発生する可能性があります。
場合によっては、システムが停止し、生産実績の登録やデータ連携ができなくなるかもしれません。
事例② Webシステムの共通部品が古いままだった
別の会社では、数年前に開発したWebシステムを運用していました。
普段は問題なく動作しているため、長年プログラムの更新は行っていませんでした。
しかし、システム内部では、古いバージョンのBrotliライブラリを使っていました。
外部から受信した圧縮データを展開する機能があり、攻撃者が細工したデータを処理する条件がそろっていた場合、今回の脆弱性の影響を受ける可能性があります。
DX担当 ちゃま男こうして見ると、会社の担当者がBrotliという名前を知らなくても、システムの中で使っていることがあるんですね。
ちゃま男の先輩そうなんだ。
しかも、システムを開発した会社が別の会社のライブラリを使っていた場合、利用企業自身では気づきにくいこともあるんだよ。
だからこそ、システムの開発会社や保守会社が、どんな部品を使用しているのか把握しておくことが重要なんだ。
PHPを更新したばかりなのに、また対応が必要？
DX担当 ちゃま男先輩、この前PHPの脆弱性が見つかったばかりですよね。
PHPを最新にした会社でも、今回のBrotliに対応しないといけないんですか？
ちゃま男の先輩今回の問題は、PHP本体に見つかった脆弱性とは別の問題なんだ。
だから、PHPを更新したからといって、すべてのBrotliの問題が解決するわけではないよ。
例えば、PHPのシステムとは別に、Node.jsで動くAPIサーバーがある場合、そのNode.js側にも確認が必要になることがあるんだ。
一方で、すでにBrotliの修正を含む更新が適用されていたり、影響を受ける展開処理を使っていなかったりすれば、追加の対策が不要な場合もあるよ。
DX担当 ちゃま男なるほど！一つのシステムでも、いろいろな技術が使われているから、それぞれ確認する必要があるんですね。
ちゃま男の先輩その通り！
システムは一つのプログラムだけでできているわけではないからね。
しかも、更新するときはプログラムの互換性も確認する必要があるんだ。
今回のBrotliの脆弱性、企業は何をすればいい？
DX担当 ちゃま男先輩！では、企業の担当者は何から始めればいいんでしょうか？
ちゃま男の先輩まずは自社のシステムが影響を受けるか、確認することが大切だよ。
企業が確認したい5つのポイント
① 自社で使用しているシステムを確認する
ホームページだけでなく、社内の業務システム、API連携サーバーなども確認対象になります。
② Brotliを使用しているか確認する
システムにBrotliが組み込まれているか、また、影響を受ける圧縮データの展開処理があるかを確認しましょう。
開発会社や保守会社に確認するのもよいでしょう。
③ 利用しているソフトウェアの対応状況を確認する
Brotli本体だけでなく、Node.jsやPythonなど、組み込まれているソフトウェアの修正状況も確認します。
④ 更新前にはバックアップと動作確認を行う
セキュリティ対策は迅速に実施すべきですが、更新によって業務システムが正常に動作しなくなる可能性にも注意が必要です。
可能な範囲で検証環境を使い、重要な機能の動作確認を実施しましょう。
⑤ 今後の更新・保守体制を見直す
使用しているプログラムやライブラリの一覧、バージョン、サポート期限などを管理できる体制を整えましょう。
Brotliの修正済みバージョン
2026年10月28日時点で、Googleからは次の修正版が公開されています。
| Brotliのバージョン系列 | 修正済みバージョン |
|---|---|
| 1.0系 | 1.0.10 |
| 1.1系 | 1.1.1 |
| 1.2系 | 1.2.1 |
また、Node.jsでも、今回の問題を修正したバージョンが公開されています。
| Node.jsの系列 | 修正済みバージョン |
|---|---|
| 22系 | 22.23.4 |
| 24系 | 24.22.1 |
| 26系 | 26.12.1 |
上記は今回の脆弱性に対する修正を含むバージョンです。実際の更新では、各製品のサポート状況や開発元の案内も確認してください。
DX担当 ちゃま男システムの中身まで確認するのは、一般の担当者には少し難しそうですね……。
ちゃま男の先輩そうだね。
だからこそ、普段からシステムの開発会社や保守会社と連絡を取れる状態にしておくことが大切なんだ。
今回の問題では、GoogleからBrotliの修正版が提供されているけど、実際に使っている製品にどう適用するかは、その製品によって違うんだよ。
まとめ：システムは「見えない部分」の管理も重要！
DX担当 ちゃま男先輩！今回のニュースで、普段は意識していないプログラムの部品にも、セキュリティ問題が起こることがわかりました！
ちゃま男の先輩そうだね。
最近のシステムは、さまざまなソフトウェアやライブラリを組み合わせて作られていることが多いんだ。
だから、表面上は問題なく動いていても、内部で使われている部品が古くなっている場合があるんだよ。
DX担当 ちゃま男ということは、システムを安全に使い続けるためには、完成した後も中身を確認していく必要があるんですね！
ちゃま男の先輩その通り！
システムは一度作ったら終わりではなく、その中で使われている技術や部品も含めて、継続的に管理・更新していくことが大切なんだよ。
今回のBrotliの脆弱性は、企業にとって、普段は目に見えないソフトウェアの構成や保守体制を見直すきっかけにもなります。
特に、長年使っている業務システムや、複数のシステムを連携させている環境では、どのような技術が使用されているのかを把握しておくことが重要です。
「今、システムが正常に動いているから大丈夫」ではなく、「これからも安全に使い続けられる状態か」を確認すること。
それが、企業のDXを支える重要な取り組みの一つです。
参考情報
- JPCERT/CC：BrotliのC言語実装における境界外書き込みの脆弱性に関する注意喚起（2026年10月26日）
- JVN：Brotliの脆弱性（CVE-2026-111497）
- Google Brotli：GitHub公式リリース
- Node.js：2026年10月のセキュリティリリース
- Microsoft：.NETの緊急セキュリティ更新（2026年10月25日）
- CISA：悪用が確認された脆弱性カタログ
※本記事は2026年10月28日時点の公開情報に基づいて作成しています。影響範囲や対応方法は使用している製品・バージョン・構成によって異なります。
コメント