Brotli C実装の境界外書き込み脆弱性CVE-2026-111497

ティアB · 今週中にパッチ – 次のスプリントで対応

ティアBの理由：悪用確認済みまたは公開エクスプロイト

影響範囲

攻撃

被害

修正

悪用確認済み · 認証不要のリモート攻撃 · 完全な乗っ取り

取るべき対応

要点

Brotliは広く使われる圧縮ライブラリであり、そのC言語実装を組み込んだソフトウェアを開発・運用している場合は影響を確認する必要がある。ソースには影響範囲や修正版の情報が記載されていないため、JVNのアドバイザリで詳細を確認することが重要である。

チェックリスト · 10項目中4項目が「はい」 · 古いデータからの推定で、まだソースと照合していません

はい	開発者に影響	開発者、運用チーム、IT部門が開発に使う、運用する、または責任を持つソフトウェア、機器、サービスに影響するか？
いいえ	基幹インフラ	ほぼすべてのチームが運用するソフトウェアに脆弱性があるか、そのソフトウェアが侵害されたか？
いいえ	人気ツール	広く使われているフレームワーク、ツール、プラットフォーム、OS、パッケージに脆弱性があるか、それが侵害されたか？
はい	悪用確認済み	CISA SSVCCISAはCVE-2026-111497の悪用状況を「active」（悪用中）と評価
いいえ	公開エクスプロイト	動作するエクスプロイトや詳細な概念実証が公開されたか？
はい	認証不要のリモート攻撃	CVSSCVE-2026-111497：CVSS 9.2（ネットワーク経由、特権不要、ユーザー操作不要）
はい	完全な乗っ取り	CVSSCVE-2026-111497：CVSSは機密性と完全性への影響をともに「高」と評価
いいえ	シークレットの流出	認証情報、トークン、鍵、設定、ソースコード、顧客データが盗まれたか、露出したか？
いいえ	サプライチェーン	開発者が信頼する経路を通じて悪意あるコードが配布されたか？
いいえ	修正なし	GitHub AdvisoryGitHub Advisory：brotliは1.2.1で修正（ほか1パッケージ）

CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。

初出：1時間前 · ソース1件 · 記事ページ · ティアの決め方