開発の基盤

Node.js に外から命令を実行される欠陥「Node2Shell」、22・24・26 系の全部が対象

ウェブサービスの裏側で広く使われている Node.js で、データを縮める仕組み（Brotli）の欠陥 CVE-2026-111497 が見つかり、「Node2Shell」と呼ばれております。外から命令を実行される恐れがあり、サポート中の 22・24・26 系のすべてが対象とされております。修正は 22.23.4・24.22.1・26.12.1 と報じられております。

分野

開発の基盤

報じた媒体

38

最初の報道

10月21日

最新の報道

10月31日

何が怖いのか

1. Node.js は、通販、予約、SNS、社内の業務画面など、身の回りの多くのサービスの裏側で動いております。サーバーを乗っ取られると、そのサービスの利用者のデータに手が届きます。
2. Node.js はアプリの中に入れて配られることも多く、使っている側が気づかないまま古い版が残りがちでございます。

あなたは関係ありますか

作っている・管理しているみなさまが、いますぐなすべきこと

1. 上の修正版以降に更新する。コンテナの元のイメージを作り直し、古いイメージを使い続けていないか確かめる。
2. Node.js を中に持つ製品（Electron のアプリ、組み込みの道具）は、各社の修正を待って当てる。

備えに使える道具

サーバーやコード置き場の管理画面は、盗まれた合言葉だけでは入れない物理キーで守り、作り直した鍵はパスワード管理の道具の保管庫へ。

• 物理キー（セキュリティキー）は、なぜ要るのか →パスワードが盗まれても、手元の鍵がなければ入れない
• パスワード管理の道具は、なぜ要るのか →1 つの流出を、ほかのサービスに広げない。偽サイトでは自動で入力しない

報道（51本）

• CVE-2026-111497: CISA KEV Update and Node.js FixesNeoTeo10/31
• What are shell vulnerabilities? PHP2Shell, Node2Shell (HTTP2Shell), React2Shell and Log4Shell explainedAikido Security10/30
• Brotli / Node.js VulnerabilitiesEsri10/29
• Critical Brotli vulnerability exposes applications to remote code execution (CVE-2026-111497)www.systemtek.co.uk10/29
• CVE-2026-111497: Node2Shell / HTTP2Shell Vulnerability May Allow RCESecurity Boulevard10/29
• ‘Node2Shell’ vulnerability (CVE-2026-111497) in active exploitationSophos10/29
• Node2Shell Vulnerability Actively Exploited in the Wild, CISA WarnsCyberSecurityNews10/28
• CISA Adds Exploited Brotli Node2Shell Flaw to KEV CatalogSQ Magazine10/28
• CISA warns of hackers now exploiting critical Node2Shell flawBleepingComputer10/28
• Node2Shell: Brotli Flaw Hits Python PackagesSOCRadar10/28
• PKCERT Warns of Critical Node.js Security Flaws & Urges Immediate PatchingTechJuice10/28
• PKCERT Alerts on Critical Node.js VulnerabilitiesNewzTodays10/28
• CISA Warns of Node2Shell Exploitation as Honeypots Log Attack AttemptsSecurityWeek10/28
• Brotli bug reaches far beyond Node.js (CVE-2026-111497)Help Net Security10/28
• Microsoft Ships Emergency .NET Patch for Node2Shell FlawTechJuice10/27
• Node2Shell puts Microsoft and Node.js on Brotli patch dutyCSO Online10/27
• Node2Shell: Node.js Brotli vulnerability allows remote code execution (CVE-2026-111497) and the fixAikido Security10/27
• Node.js sounds the alarm: code used by Netflix has a critical flawCybernews10/27
• Critical Node.js Flaw Exposes Servers to Remote Takeover After PHP VulnerabilitiesTHE ELEC, Korea Electronics Industry Media10/27
• Node2Shell Exploited in the Wild: Node.js Brotli RCECyber Kendra10/27
• CVE-2026-111497: Critical out-of-bounds write in the Node.js Brotli decoderRapid710/27
• Inside Node2Shell: A Closer Look at CVE-2026-111497Akamai10/27
• Node2Shell: Brotli Flaw Triggers Patching Across Microsoft, Node.js, Python PackagesSecurityWeek10/26
• Following PHP, Concerns Grow Over Node.js Website Hacking Vulnerabilitiesnews.sbs.co.kr10/26
• Theori warns Node.js users of Node2Shell flaw, urges urgent patchingChosunbiz10/26
• html2shell does not exist, the real flaw is in Brotli (CVE-2026-111497)Pasquale Pillitteri10/25
• Node2Shell Flaw Reaches 3 Node.js Lines and VS Code [2026]tech-insider.org10/25
• Node2Shell flaw embedded in apps and dev tools far beyond Node.jsiTnews10/25
• Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used SoftwareThe Hacker News10/24
• Node2Shell: Node.js Brotli Flaw Gets RCE Proof of ConceptCyber Kendra10/24
• node2shell (CVE-2026-111497): What to Patch and How to Find Exposed ServicesSecurity Boulevard10/24
• Node.js Patches Brotli Remote Code Execution Flaw: Find Vulnerable Runtimes Before Attackers DoQualys10/23
• CVE-2026-111497: Node.js Brotli Decoder Flaw Enables Remote Code ExecutionSOC Prime10/23
• Researchers demonstrate Node.js RCE through Brotli decoder flawnews.lavx.hu10/23
• Node2Shell: Node.js Brotli Flaw CVE-2026-111497 Added to CISA KEV, Upgrade to 22.23.4, 24.22.1 or 26.12.1Rescana10/23
• Node2Shell Brotli vuln (CVE-2026-111497) evolves to HTTP2Shell, as libraries and apps using HTTP are affected.Aikido Security10/23
• Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli DataThe Hacker News10/23
• New Node2Shell Node.js RCE Exploit Let Attackers Execute Malicious Code Through Brotli-Compressed DataCyberSecurityNews10/23
• Node.js Brotli Decoder Out-of-Bounds Write (RCE) – CVE-2026-111497OX Security10/22
• Node.js Brotli Decoder Bug Could Allow Remote Code Execution in All Supported VersionsThe Hacker News10/22
• Node.js Rushes Patches for 3 Release Lines, Fixing 10 Flaws Including Remote Code Execution VulnerabilityBigGo Finance10/22
• Warning: Multiple High Severity Vulnerabilities in Node.js, Patch Immediately!CCB Belgium10/22
• Node.js Patches 10 Security Vulnerabilities, Including High-Severity RCE FlawGBHackers News10/22
• Node.js patches 10 vulnerabilities, including a Brotli flaw Codex foundPasquale Pillitteri10/22
• Node2Shell: From Brotli Data to Remote Code ExecutionSecurity Boulevard10/22
• October 21 Cybersecurity Nightmare: PHP and Node.js Flaws, LiteLLM Backdoor, and Active AttacksCyberSecurityNews10/22
• Node.js has released security updates '22.23.4', '24.22.1', and '26.12.1', fixing a total of 10 vulnerabilities.GIGAZINE10/22
• CVE-2026-111497: Node.js fixes 10 vulnerabilities, one with code executionSecNews.gr10/22
• Node.js Patches Critical Brotli Decoder Flaw That Allowed Remote Code Execution, Vercel Rushes Out Emergency Firewall RulesOfficeChai10/22
• Node.js Releases Security Updates to Fix High-Severity TLS, DNS, and Brotli VulnerabilitiesCyberSecurityNews10/21
• Weekly Security Roundup: PHP and Node.js Patches, OpenCode Breach, and More · cyber.hendryadrian.comHowl.link10/21

本文は、本観測所が報道の見出しで確かめられたことだけをまとめたものでございます。版や期間などの細かな条件は、必ず開発元・提供元の公式の発表でご確認ください。報道の一覧は 1 時間ごとに取り直しております。

ほかの深刻な問題

• 予約の基盤航空会社の予約システム「アマデウス」に不正アクセス。JAL も大韓航空も、約 3 年分の予約が見られた恐れ
• 開発の基盤GitLab に深刻度 10.0 の欠陥が 2 つ。10 月 12 日に直したサーバーも、まだ危ない
• 開発の基盤Java の暗号の通信の部品に深刻度 9.1 の欠陥、Oracle が緊急の更新
• 通信アプリSignal、電話を切ったあとも音声がつながったままになる恐れのある欠陥
• サイトの部品WordPress のバックアップ部品 UpdraftPlus、盗まれた鍵でサイトに裏口
• 暗号・証明書インドの認証局 eMudhra の鍵が破られ、ブラウザ各社が証明書を締め出した
• AI の部品AI アプリの部品 LiteLLM に、鍵を盗むプログラムが仕込まれた（今年 2 回目）
• AI の道具AI コーディング道具 OpenCode、悪意ある MCP サーバーにつなぐだけでプログラムを実行される穴
• 開発の基盤アプリを動かす基盤 Railway と Zeabur が侵害、預けた秘密の値が読まれた恐れ
• 管理の道具ConnectWise のクラウドバックアップ経由で、多くの会社の Microsoft 365 に侵入
• 更新の仕組みバックアップソフト AOMEI の更新サーバーが乗っ取られ、更新としてマルウェアが配られた