Googleの圧縮形式「Brotli」に深刻な脆弱性「HTTP2Shell」、Web関連に幅広く影響／OpenAIが発見した「Node2Shell」の影響が拡大、認証なしでリモートコード実行のおそれ
米Googleのデータ圧縮アルゴリズム「Brotli」のC言語実装で、認証なしにリモートからメモリを破壊できる深刻な脆弱性「CVE-2026-111497」が発見された。当初、米OpenAIによって「Node.js」の問題として報告された...
nguyen-oi◯◯Shell系の名付けが流行りすぎてて名前覚えるだけでも大変だな
2026/10/26 09:18
nekoline今さならなが「○○2Shell」の意味を調べた。to Shell が由来で、対象の脆弱性からサーバーのシェル操作に繋げるって意味らしい。PHPの件で脆弱性が2件あったのと2は無関係。
2026/10/26 09:41
JULYさすがに、HTTP2Shell は大げさでセンスがない。
2026/10/26 09:48★★★
b9rantan8どのサービスで影響あるんだよｗ
2026/10/26 09:55
circlednode2shellの根底にいるのがこいつだからな。あとPythonのライブラリでも使われてる。何かと面倒な存在
2026/10/26 10:02★
twmwssh無効化してあっても管理権限奪取できる「TCP2Shell」が出現した時に言いたい言葉「とうとう出たね。。。」🤔
2026/10/26 10:03★★★★
sigwygあーBunは盲点だった
2026/10/26 10:11
yorkfield広く使われているライブラリだと影響は大きいよなあ。別にHTTP限定じゃないんだからもうちょっと命名はどうにかならなかったのか。
2026/10/26 11:44★★
mohno「「Brotli」のC言語実装で、認証なしにリモートからメモリを破壊できる深刻な脆弱性」「問題が発見されたのは、「Brotli」の圧縮処理ではなく、圧縮データを元の状態へ展開するデコーダー（c/dec/decode.c）」
2026/10/26 11:45
netafull“当初、米OpenAIによって「Node.js」の問題として報告されたこともあり 「Node2Shell」 と呼ばれていたが、のちの調査でHTTPを扱うさまざまなライブラリやアプリにも影響が及ぶことが判明。”
2026/10/26 12:21
sevenspiceやっぱりC言語なんだよな。じゃあ全部Rustに置き換えればいいとは限らないのが難しい。メモリ安全性で有利だからと言って別の形で似た脆弱性を入れ込まないとは限らんのよな…
2026/10/26 12:43
mskaエンコード、デコード、パーサ、軒並み穴だらけ。論理的に正しく見えるコードも「境界」を越えてしまうCの限界。
2026/10/26 14:08
ys0000Node2Shell は無影響かと思ってたら自分にも関係してきそうだな。ちょっと気になるから暫く情報を追うかな。
2026/10/26 14:25