Brotliの脆弱性、どこを更新する？―Node.js・PHP・.NETの対応を追う
同じCVEでも更新する配布物は製品ごとに異なります。各社の修正日と既報をつなぎ、ランタイム・アプリ同梱物の更新漏れを確認します。
掲載した製品対応の最新公表日：2026-10-26 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
最終確認 2026-10-27
修正版提供・組み込み先ごとの更新確認が必要
Brotliは通信データなどを圧縮・展開するライブラリです。CVE-2026-111497は細工された圧縮データの展開に伴う範囲外書き込みで、停止やコード実行につながるおそれがあります。10月27日確認時点で、Brotli本体とNode.js、.NET、PHP Windows版の修正が案内されています。
前報からわかったこと
10月26日にPHP Windows版の再ビルドが公開されました。先にNode.jsや.NETを更新していても、別の製品に同梱されたBrotliまで更新されたことにはなりません。外部データを展開する処理と、その実行環境を対応させて確認します。
これまでの経緯
公式発表の公表日順（古い順）に掲載しています。当社記事がない報告は公式発表へ直接リンクしています。
Brotli本体の修正
Brotli 1.2.1が範囲外書き込みを修正。組み込み製品の利用者はライブラリ単体の置換ではなく、その製品の修正版と手順を確認します。
公式発表 ↗Node.jsの3系列を更新
22.23.4、24.22.1、26.12.1を公開。node:zlibで攻撃者由来のBrotliデータを展開する処理が対象になります。npm依存だけでなく稼働するNode.js本体を確認します。
Node.js、22・24・26系の修正版を公開―Brotliのコード実行などに対応 →当社記事公開：2026-10-22 · 公式発表 ↗.NETの臨時更新
8.0.33、9.0.22、10.0.14などを公開。Brotliの問題はWindows限定ではなく、信頼できない圧縮データを扱う各プラットフォームが対象です。.NET Frameworkはこの臨時更新の対象外です。
.NETの定例外更新、Windows通信に加えBrotli・開発環境も確認 →当社記事公開：2026-10-26 · 公式発表 ↗PHP Windows版を再ビルド
8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1を公開。cURLのHTTP応答自動展開を使う構成を確認します。PHPの実行時バージョン表示は変わらないため配布物も照合します。
PHP Windows版にBrotli修正―更新済みでも「-1」付きパッケージを確認 →当社記事公開：2026-10-27 · 公式発表 ↗
確認できていないこと
この一覧は全製品の網羅ではありません。圧縮機能を使うことと、信頼できないデータを脆弱なデコーダーで展開することは区別します。各告知から実被害の有無や全環境での攻撃成立を推定しません。独自ビルドやサポート終了版は配布元への確認が必要です。
出典と編集について
Brotli開発チーム：Brotli 1.2.1：セキュリティ修正 ↗本記事は公式発表と当媒体の過去記事を整理した経緯まとめです。公表日と当社記事の公開日を区別し、確認時点を明記しています。