※本記事にはプロモーション（広告）が含まれています。
こんにちは！こきです。
2026年10月、「HTTP2Shell（エイチティーティーピー・ツー・シェル）」という脆弱性がニュースやSNSで話題になっています。「危険度9.2」「リモートでコードを実行される」といった言葉を見て、不安になった方もいるかもしれません。
この記事では、HTTP2Shellとは何か、どんなソフトが影響を受けるのか、そして一般の人と開発者・サーバー管理者がそれぞれ何をすればいいのかを、公式の発表をもとにわかりやすく解説します。
※この記事の情報は2026年10月25日時点のものです。最新の情報は、記事の最後にある公式の発表を確認してください。
結論：まずは「アップデート」。あわてる必要はないが放置もしない
- HTTP2Shellは、データ圧縮のしくみ「Brotli（ブロトリ）」の展開処理にある脆弱性の通称。正式な番号はCVE-2026-111497
- 直接影響を受けるのは、Brotliを組み込んだソフト（Node.js、PythonのBrotliライブラリなど）。修正版はすでに公開されている
- 一般の人は、スマホ・パソコン・アプリを最新の状態に保つことが基本の対策
- 開発者・サーバー管理者は、Brotliや、Brotliを含むソフトのバージョンを確認して修正版に更新する
HTTP2Shellとは？
Brotliってなに？
Brotliは、Googleが開発したデータ圧縮のしくみです。Webサイトの文字や画像のデータを小さくして送ることで、ページを速く表示するために使われています。
データを受け取った側は、圧縮されたデータを元に戻す（展開する）必要があります。この「展開する部分（デコーダー）」に、今回の脆弱性が見つかりました。
どんな脆弱性なの？
CVE（脆弱性に番号をつけて管理するしくみ）の記録では、次のように説明されています。
- 対象は、Google Brotliのバージョン1.0.3から1.2.0のデコーダー
- 細工した圧縮データを読み込ませると、本来書き込んではいけないメモリの領域に書き込んでしまう（バッファオーバーフロー）
- その結果、プログラムが止まる、メモリの中の情報が漏れる、場合によっては攻撃者が用意したプログラムを実行されるおそれがある
- 攻撃者はログインなどをしなくても、ネットワーク越しに攻撃できる可能性がある
深刻度は、CVSS（脆弱性の深刻さを点数で表すしくみ）のバージョン4.0で9.2（緊急：Critical）と評価されています。10点満点のうち9.2なので、とても深刻な部類です。
「HTTP/2の脆弱性」ではないので注意
名前に「HTTP2」と入っていますが、通信のルールであるHTTP/2そのものの不具合ではありません。問題があるのはBrotliの展開処理です。
また、「HTTP2Shell」は報道やSNSで広まった通称です。Node.jsの公式発表やCVEの記録では、この名前は使われていません。ほかに「Node2Shell」などと呼ばれていることもあります。調べるときは、正式な番号の「CVE-2026-111497」で検索すると、正確な情報にたどり着きやすくなります。
影響を受けるソフトと修正版
公式の発表で確認できた、主な対象と修正版は次のとおりです。
x22.23.4 / 24.22.1 / 26.12.1Python「brotli」パッケージ修正版より前のもの1.2.1（2026年10月22日公開）Python「brotlicffi」パッケージ修正版より前のもの1.2.1.0（2026年10月22日公開）
| ソフト | 影響を受けるバージョン | 修正版 |
|---|---|---|
| Google Brotli（本体） | 1.0.3〜1.2.0 | 1.0.10 / 1.1.1 / 1.2.1 |
| Node.js | 修正版より前の22.x / 24.x / 26. | |
Node.jsは、2026年10月21日にセキュリティアップデートを公開しました。公式発表では、node:zlibでBrotliのデータを展開するアプリが、攻撃者の用意したデータを受け取ると、メモリを壊されるおそれがあると説明されています。また、サポートが終了した古いバージョン（Node.js 20以前など）は修正されないため、サポート中のバージョンへの移行が必要です。
Brotliは多くのソフトに組み込まれているため、ほかの製品も影響を受ける可能性があります。表にないソフトを使っている場合は、そのソフトの公式発表を確認してください。
悪用はされている？
アメリカのCISA（サイバーセキュリティ・社会基盤安全保障庁）がCVEの記録に追加した評価では、2026年10月23日時点で「悪用は確認されていない」とされています。
ただし、脆弱性の内容が公開されると、攻撃の方法が研究されて、悪用が始まることもあります。「まだ大丈夫」と放置せず、早めにアップデートしておくのが安全です。
一般の人がやるべきこと
HTTP2Shellで直接影響を受けるのは、主に開発者やサーバーで使われるソフトです。とはいえ、私たちが使っているアプリやサービスの裏側で使われている可能性もあります。次のことをやっておきましょう。
- スマホ・パソコンのOSを最新にする：自動アップデートをオンにしておくと安心です
- ブラウザやアプリを最新にする：アプリストアの「アップデート」を確認しましょう
- SNSの「〇〇も危険！」という情報は、公式発表で確かめる：話題の脆弱性は、大げさな情報や誤った情報も広まりやすいです
- 「あなたのパソコンは危険です」という連絡や広告に注意する：話題のニュースに便乗して、偽のサポートに電話させたり、怪しいソフトを入れさせたりする手口があります
話題に便乗した偽メールや偽サイトの見分け方は、こちらの記事でくわしく解説しています。
▶ 【2026年版】フィッシング詐欺の見分け方5つ｜偽メール・SMSを開いてしまったときの対処法
開発者・サーバー管理者がやるべきこと
1. バージョンを確認する
まずは、使っているソフトのバージョンを確認しましょう。
| 確認したいもの | 確認するコマンドの例 |
|---|---|
| Node.js | node -v |
| Pythonのbrotli | pip show brotli |
| Pythonのbrotlicffi | pip show brotlicffi |
2. 修正版に更新する
上の表の修正版より古ければ、更新します。自分のパソコンだけでなく、次のような場所に入っているものも忘れずに確認しましょう。
- 本番環境・検証環境のサーバー
- Dockerなどのコンテナイメージ（ベースイメージを更新して作り直す）
- アプリの依存関係（ライブラリの中に入っているBrotli）
- CI/CD（自動テスト・自動デプロイ）の環境
3. すぐに更新できないとき
すぐに更新できない場合は、どこで外部から受け取ったBrotliのデータを展開しているかを洗い出しましょう。そのうえで、製品やライブラリの公式発表に回避策が書かれていないか確認し、更新の予定を早めに立てるのがおすすめです。なお、Node.jsの公式発表には回避策は書かれていません。
現役セキュリティコンサルの視点：脆弱性対応は「情報の見きわめ」から
今回のように大きな脆弱性が話題になると、SNSやブログでさまざまな情報が一気に広まります。なかには、番号やバージョンがまちがっている情報もあります。
セキュリティの仕事では、こうした情報の中から公式の発表（一次情報）を探して、「自社に影響があるか」「何をいつまでに直すか」を判断することがとても大切です。
セキュリティの仕事に興味がある方は、こちらの記事も参考にしてください。
- ▶ セキュリティコンサルタントとは？仕事内容を現役コンサルが紹介【新卒・未経験者向け】
- ▶ 【2026年版】未経験からセキュリティ転職で年収400万→700万｜現役コンサルが取るべき資格と転職の進め方を解説
まとめ
- HTTP2Shellは、Brotliの展開処理にある脆弱性（CVE-2026-111497）の通称。HTTP/2そのものの不具合ではない
- 深刻度はCVSS 4.0で9.2（緊急）。プログラムの停止、情報漏えい、コードの実行につながるおそれがある
- Brotli、Node.js、Pythonのbrotli・brotlicffiは、修正版が公開済み
- 一般の人は、OS・ブラウザ・アプリを最新にして、SNSの情報は公式発表で確かめる
- 開発者・サーバー管理者は、サーバーやコンテナ、依存関係も含めてバージョンを確認し、修正版に更新する