Python 脆弱性/Brotli修正版

Brotliの問題

10月26日のGoogleトレンドでは「python 脆弱性」と、脆弱性の識別番号（CVE-2026-111497）が急上昇に入りました。確認する対象は、ウェブ通信などのデータを小さくするBrotliの展開処理です。Googleの開発元は、用意された圧縮データを処理すると、本来の範囲を超えてメモリーへ書き込む問題を修正したと公表しています。

攻撃者が作ったデータを、影響を受けるライブラリで展開することが成立条件です。単にサーバーにPythonがあるだけで、すべてのサイトに同じ危険があるとは言えません。使っているソフトと、その中に取り込まれたライブラリまで対象を絞る必要があります。

Red Hat（レッドハット）は、細工された入力が必要な問題で、通常の正しい圧縮データを展開するだけの場合と区別しています。また、同社の説明では、信頼性のある遠隔コード実行の実証コードが一般公開されているとはしていません。この説明を、被害が起きない保証として読むこともできません。

Python環境で確認

まず、サイトや業務アプリの管理者に、Brotliを直接使っているか、通信・高速化用の依存ライブラリが取り込んでいるかを確認します。利用者のパソコンにあるPythonと、公開サーバー上のアプリは別々の環境です。手元の版だけを見ても、本番の状態は分かりません。

配布元が独自に修正を取り込むこともあるため、版番号の見た目だけで安全・危険を断定しないでください。保守元のセキュリティ情報、対象パッケージ、提供された更新の組み合わせで判断します。開発用の仮想環境、コンテナー、定期処理にも同じ依存関係が残っていないかを確認する順番です。

「Pythonを更新すれば全部直る」とは限りません。今回の記事で扱うのはBrotli側の欠陥なので、Python本体の更新履歴とは別に、アプリが実際に読み込むパッケージを調べます。担当者へは、対象サービス名、利用環境、確認した版、更新予定を一緒に渡すと、やり取りを減らせます。

Node.jsの修正版

同じBrotliを組み込むノードジェイエス（Node.js）も、公式発表で問題と修正版を案内しています。対象として挙げている系列は22、24、26で、今回の公開版は22.23.4、24.22.1、26.12.1です。Python用のパッケージの番号と、ノードジェイエス（Node.js）本体の番号を混ぜないでください。

公式によると、細工された圧縮データをnode:zlib（圧縮・展開用の標準機能）で扱うと、プロセスのメモリーが壊れ、停止や情報流出、コード実行につながるおそれがあります。外部データを受ける機能がどこにあるかを調べ、修正版を適用したうえで、起動中の処理が新しい版を使っていることまで確認します。

更新ファイルを置いただけで、古いプロセスがそのまま動いている場合は確認が終わっていません。再起動や再配置の要否は、運用しているサービスの手順に従ってください。レンタルサーバーなどを使っている人は、独自に設定を変える前に、事業者の対象サービスと更新完了の案内を読む形になります。

更新後に残す記録

今回の確認日、対象システム、依存ライブラリ、適用前後の版、更新した日時を一枚にまとめます。複数のサービスを同じサーバーに置いている場合でも、ひとつのアプリの確認結果を残り全部へ当てはめないでください。保守会社に委託している場合は、確認済みの範囲を回答してもらいます。

修正版の適用と、過去に侵入された形跡がないかの調査は別の作業です。異常な停止や不審なアクセスが見つかった場合は、記録を保存し、保守担当者へ確認を依頼します。心配な投稿だけを見て環境を消したり、ログを上書きしたりすると、後から確認できる材料が減ってしまいます。

10月26日時点では、各配布元の発表と更新案内を起点に確認できます。新しい修正や対象追加が出る場合があるため、実施時には出典の更新日も見てください。

アイキャッチの出典

イメージ写真。写真の出典／Pexels License

公式出典

更新履歴

• 2026年10月26日　初版公開。公式発表・取材時点を本文に記載。