Node.js の Brotli デコーダが範囲外へ書く：CVE-2026-111497

Node.js の 2026-10-21 セキュリティリリースは CVE-2026-111497 を high としている。Brotli デコーダの範囲外書き込みがリモートコード実行を許す。影響は 26.x、24.x、22.x。修正は v26.12.1、v24.22.1、v22.23.4。告知に数値の CVSS と完全なトリガはない。ここでも手順は足さない。

一言で：信頼できない Brotli の展開は、クラッシュではなく RCE として日程に載せる。

同じリリースの証明書ホスト名と DNS の NUL は、CVE-2026-106069 と CVE-2026-105482 に分けて書いた。セキュリティリリースは一度で入れる。

リリースノートで照合できること

項目	内容
原題	Node.js Brotli decoder out-of-bounds write permits remote code execution
深刻度	告知は high。3 ラインとも最高は high
影響	26.x、24.x、22.x
修正	26.12.1、24.22.1、22.23.4
修正記録	`deps: brotli: cherry-pick 0ed4268a4401abcb44720963`。v26.12.1 の GitHub リリースノートには `src: expose BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH` もある
クレジット	報告 mcollina、修正 aduh95。brotli の cherry-pick は Evgenii Kliuchnikov
EOL	セキュリティリリース時、保守終了版は常に影響を受けると告知は書く。今回の修正は入らない

「任意の HTTP レスポンスが RCE」とも、必須 API の名前とも、告知は書いていない。確認できるのは、Node 同梱の Brotli デコーダにおける範囲外書き込みで、結果にリモートコード実行が含まれ、保守中の 3 ラインを上げる必要があることだけである。

同じビルドの依存更新

依存	告知が挙げるライン	リリースノートに版があるもの
c-ares	26.x、24.x、22.x	1.34.9
ルート証明書 / eMudhra 中間 CA	26.x、24.x、22.x	ルート証明書は NSS 3.131.1。遮断された公開鍵を含むチェーンを拒否
OpenSSL	24.x と 22.x	openssl-3.5.9
SQLite	22.x のみ	3.53.4
Undici	26.x、24.x、22.x	24.22.1 は undici 7.30.1、22.23.4 は 6.29.1。26.12.1 は Undici 更新ありと告知されるが、小版番号はここには書かない

26.12.1 の注目変更に OpenSSL 3.5.9 はない。Current ラインへコピーしない。

ビルド機とランディング側

広告側で Node が動くのは、多くの場合、ランディング素材を組む CI、SSR や BFF、上流レスポンスを展開するワーカーであり、訪問者が見る HTML そのものではない。

node -v を 22.23.4 / 24.22.1 / 26.12.1 に合わせる。「22 系である」だけでは足りない；
イメージ、.nvmrc、CI のセットアップを一緒に変える；
プロセスを再起動する。ディスク上のバイナリだけ新しくても、古いプロセスは未修正のまま；
EOL のメジャーは、存在しないバックポートを待たずに乗り換える；
上げるまで、展開するバイトの出どころを絞る。「Brotli を切る」は公式の代替修正として書かれていない。

訪問者ルールは、Node がレスポンスをどう復号するかを決めない。

まとめ

CVE-2026-111497 は 2026-10-21 の Node セキュリティリリースで、リモートコード実行と明記された high である。修正は 26.12.1、24.22.1、22.23.4。この 3 版へ上げて再起動し、同梱の c-ares、証明書、（24 と 22 の）OpenSSL も一緒に取る。

出典：2026-10-21 Security Releases、v26.12.1、v24.22.1、v22.23.4。