CVE-2026-111497（Google Brotli）とは
CVE-2026-111497 は、Google Brotli に見つかった脆弱性です。種類は「範囲外への書き込み」（CWE-787）に当たります。
CVE-2026-111497 とは
「範囲外への書き込み」は、メモリの決められた範囲の外にデータを書き込んでしまう種類の弱点です。
NVD の評価では、CVSS v3.1 の基本値は 9.8、深刻度は「緊急」です。評価の項目によると、ネットワーク経由で、認証なしで、利用者の操作なしに攻撃が成り立つとされています。
米国の CISA は、この脆弱性が実際の攻撃に悪用されたことを確認し、2026年10月27日にKEV カタログ（悪用が確認された脆弱性の一覧）に載せました。ランサムウェアの攻撃での悪用は、CISA の一覧では「不明（Unknown）」とされています。
- 製品
- Google Brotli ほか（google brotli、nodejs node.js、python-hyper brotlicffi、microsoft .net、debian debian linux、istio istio、anthropic bun、envoyproxy envoy、tianocore edk2、google woff2、duckdb duckdb、clickhouse clickhouse、apache arrow、mcmilk 7-zip-zstd、7-zip p7zip、andybalholm brotli、siemens ruggedcom ape1808 firmware、siemens common configurator、siemens data flow monitoring、siemens edge opc ua server configurator）
- 開発元
- 種類（CWE）
- CWE-252、範囲外への書き込み（CWE-787）
- CVSS
- v3.1 基本値 9.8（緊急）
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - KEV の掲載日
- 2026年10月27日
- ランサムウェアでの悪用
- 不明（Unknown）
- CVE の公開日・更新日
- 2026年10月22日／2026年10月31日
- KEV の脆弱性名（原文）
- Google Brotli Unchecked Return Value Vulnerability
NVD の概要（英語の原文）
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
出典：NVD（CVE の記述。This product uses data from the NVD API but is not endorsed or certified by the NVD.）
影響と対応
CVSS の評価の項目では、影響の大きさは次のとおりとされています。
- 機密性（情報を見られる）
- 高
- 完全性（情報やシステムを書き換えられる）
- 高
- 可用性（サービスを止められる）
- 高
- 対応期限
- 2026年11月10日
CISA が米国の連邦政府機関に求めている期限です。日本の企業に向けた期限ではありませんが、対応の順番を決める目安になります。 - 修正版・回避策
- 修正版のバージョンや回避策は、開発元の公表で確かめてください。この表では、修正版の有無や番号を判断していません。
原典
確かめることの観点
Google Brotli について、社内と委託先で次の 4 点を確かめると、対応の要否と順番を決めやすくなります。
- 自社で使っているか社内の機器・サーバー・クラウドの一覧で、Google Brotli を使っているか、使っている場合はバージョンを確かめます。
- 委託先が使っているかシステムの保守・運用・開発を任せている委託先や、データを預けているサービスで、Google Brotli を使っているかを尋ねます。
- 修正の状況開発元が公表している修正版の適用や回避策の実施が済んだか、済んだ日はいつかを確かめます。CISA の対応期限（2026年11月10日）も順番の目安になります。
- 痕跡の確認開発元や公的機関が痕跡（不正な操作の跡）の確かめ方を公表していれば、それに沿って確認したか、結果はどうだったかを確かめます。
委託先への照会の文面（下書き）
御社のメールに写して、宛先・期日を直してお使いください。当社は照会を送らず、送った内容や回答も預かりません。
件名：Google Brotli の脆弱性（CVE-2026-111497）への対応状況のご確認
〇〇株式会社 ご担当者様 いつもお世話になっております。 Google Brotli の脆弱性（CVE-2026-111497）について、米国 CISA が悪用を確認したと公表しています。 弊社の業務に関わる範囲で、次の点を教えていただけますでしょうか。 1. 弊社の業務で Google Brotli をお使いかどうか（お使いの場合は、バージョン） 2. 開発元が公表している修正版の適用、または回避策の実施の状況と、その日付 3. 開発元や公的機関が公表している痕跡の確認を行ったかどうかと、その結果 4. 弊社のデータへの影響の有無（確認中の場合は、その旨と次のご連絡の目安） 恐れ入りますが、〇月〇日までにご回答いただけますと幸いです。 どうぞよろしくお願いいたします。
関係するレポート
- Brotli（C 実装）の境界外書き込みの脆弱性（CVE-2026-111497）（要点・ヒアリング質問票・お知らせ文の下書き）