Tesuji確認時点：2026年10月28日 11:55（日本時間）
CISAの公式KEVデータで、Brotliの脆弱性CVE-2026-111497が10月27日付で追加されたことを確認しました。取得したカタログの公開時刻は10月27日19:00 UTC、日本時間では10月28日04:00です。既知の悪用という観点から、利用環境の確認と対応の優先順位を見直したい情報です。CISA公式KEVデータ
PHP2ShellとBrotliを、CVE番号で分けて追う
| 対象 | CVE | KEVの追加日 |
|---|---|---|
| Brotliのデコーダー | CVE-2026-111497 | 2026年10月27日 |
| PHP本体の2件（PHP2Shell） | CVE-2026-109618 / CVE-2026-109619 | 2026年10月26日 |
いずれもKEVに収録されていますが、別の問題です。追加日は攻撃の初発日を示すものではありません。また、Brotliの悪用確認から、個々のPHP・Node.js・.NETの導入先が侵害されたと判断することもできません。KEV公式配布元
同じライブラリを含む製品でも、確認する配布物が違う
GoogleのBrotli公式リリースでは、1.2.1のセキュリティ修正としてCVE-2026-111497を掲載しています。Brotli 1.2.1
| 利用環境 | 公式情報から確認する点 |
|---|---|
| PHP公式Windows配布物 | 10月26日公開の8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1はBrotli 1.2.1を含む再ビルド。PHP本体の表示バージョンは変わらない。 |
| Node.js | 対象は26.x・24.x・22.x。10月21日のセキュリティリリースは26.12.1・24.22.1・22.23.4。アプリが攻撃者の用意したBrotliデータを展開する経路を確認する。 |
| .NET | 影響パッケージと利用条件を確認する。自己完結型アプリは更新したランタイムで再ビルド・再配布する。NativeAOTでは共有ランタイムの更新だけでは組み込み済みのデコーダーは置き換わらない。 |
出典：PHP公式告知、Node.js公式告知、.NET公式アドバイザリ
PHP公式Windows版では、cURL拡張によるHTTP応答の自動展開を有効にした場合に、対象デコーダーへ到達し得ると説明されています。自動展開はcURLでは標準で無効ですが、アプリやHTTPクライアントライブラリが有効にする場合があります。製品名や版番号の確認と併せて、使っている処理を確認します。
今日の点検を、稼働環境までつなげる
以下は運用への提案です。
- 利用箇所を洗い出す。 サーバー、コンテナ、ジョブ、配布アプリなどで、どの製品・配布物がBrotliを含むかを確認する。
- 影響条件を照合する。 外部から受け取った圧縮データを、対象のデコーダーで展開する経路があるか調べる。
- 製品ごとの修正版を適用する。 OSやベンダーが配るパッケージ、ランタイム、SDK、アプリへの組み込み方を区別する。
- 再起動・再配布後の状態を確認する。 取得したパッケージと実際に稼働するプロセス・配布物を対応づけて記録する。
- 侵害が疑われる兆候は調査へ回す。 修正を適用した事実と、過去の侵害の有無は別に確認する。
「PHPを更新した」「SDKを入れ替えた」という作業記録に、どの配布物・稼働環境まで反映したかを添えることが、今回の確認の要点です。