概要と修正版

同梱の依存物も更新された。c-ares・Undici（全系列）、OpenSSL（24.x・22.x）、SQLite（22.x）、CA 証明書（侵害された eMudhra 中間 CA の除去。全系列）。

公式発表には回避策の記載が無く、対処は修正版への更新のみとされている。

脆弱性の一覧と仕組み

High 4 件の仕組み

CVE-2026-111497（Brotli）

不正な Brotli データの展開中に境界外書き込みが起きる。修正は Google の Brotli 本家のコミットの取り込みで、ブロック種別が 1 つしか宣言されていないストリームにブロック切り替えが現れたら即座に失敗させる。到達する API は zlib.brotliDecompress()・brotliDecompressSync()・createBrotliDecompress() と、応答の Content-Encoding: br を自動で展開する fetch()（Undici）。

Debian・Ubuntu のパッケージで入れた Node.js はシステムの libbrotli を使うことがあり、その場合の修正は libbrotli パッケージ側から来る。

別名 node2shell・HTTP2Shell

この脆弱性は、報道や各社のブログで node2shell (Node2Shell) と呼ばれ、その後 HTTP2Shell と呼び直された。どちらも CVE-2026-111497 の 1 件を指す別名で、別の脆弱性ではない。欠陥は Node.js 固有ではなく、Google の Brotli ライブラリ (1.0.3〜1.2.0) そのものにある。

深刻度は、CVE を採番した Google が CVSS 4.0 で 9.2 (Critical)、Node.js は High と評価している。Imperva は、改変していない公式の Node.js 24.22.0 のイメージで、任意のコードの実行を再現した (毎回は成功しない)。10月23日時点で、実際の攻撃は報告されていない。

Node.js で到達する経路

• 影響 Express 5.0.0〜5.3.0・body-parser 2.0.0〜2.3.0 の json()・raw() 等。要求本文の Content-Encoding: br を展開するため、認証の前に、外部から 1 回の要求で届く
• 影響 組み込みの fetch()。悪意あるサーバ、または改ざんされた応答の br を自動で展開する
• 低 素の http.createServer。受け取るだけでは要求本文を展開しない

Node.js 以外

.NET・PHP・Ruby・DuckDB・ClickHouse・7-Zip などにも Brotli を同梱する物があり、修正の状況は製品ごとに異なる。Apache・nginx は既定では要求本文の Brotli を展開しない。

CVE-2026-105483・CVE-2026-106069（TLS のホスト名検証）

tls.checkServerIdentity() が、IP の形をした接続先を、証明書の IP Address: ではなく DNS: 項目と照合してしまう。例: 0127.0.0.1 は url.domainToASCII() では 8 進として 87.0.0.1 と解釈されるが、OS は 127.0.0.1 へ接続する。DNS:87.0.0.1 の証明書で、別のマシンが本物として通ってしまう。

悪用には、クライアントが信頼する CA から IP の形をした DNS: 項目を持つ証明書を得る必要があり、条件は厳しい。接続先のホスト名を外部入力で決めるクライアントで問題になる。

CVE-2026-105482（dns.resolve）

c-ares が NUL を文字列の終わりとして扱う。'example.com\0.trusted.corp' を検査では .trusted.corp と見て許可しても、実際に問い合わせるのは example.com になる。dns.lookup()（OS のリゾルバ）は対象外で、dns.resolve*()・dns.reverse() が対象。

どの使い方で影響するか（Web・CLI）

今回の High は、多くが Node.js が外へ通信するとき（クライアント側）の問題である。「Web サーバか CLI か」より、信頼できない相手のデータを受け取るかで判断する。

Node.js 20 を使っている場合

Node.js 20 は 2026-04-30 にサポートが終了した。公式は終了した系列を検証しないため、影響するかどうかの公式の判定は無く、修正版も出ない。

加えて、20 は 2026-04-30 以降に公開された過去の脆弱性（2026 年 6 月・7 月のリリース分）も修正されていない。今回だけを見て「当たらない」と判断しても、未修正の穴は積み上がっている。

Node.js 20 から 26 で変わること・非互換

20 から 26 へは 6 メジャー分（21〜26）の変更をまたぐ。公式の移行ガイドは v20→v22 と v22→v24 の 2 本があり、v24→v26 のガイドは見つからなかった。まず 24 へ上げ、続けて 26 を試す二段の移行が現実的。

主要な版の推移

非互換になりやすい点

追加された機能（上げると使えるもの）

• fetch・Web Streams が安定（21）、WebSocket クライアントがフラグ不要（22）
• TypeScript の型を消して直接実行（22.18 で既定有効、24.12 で安定）。tsconfig.json は読まず、enum 等の型以外の構文は不可
• node --run（package.json の scripts 実行）、--watch が安定（22〜23）
• localStorage・sessionStorage（25）、URLPattern（24）
• 言語機能: using（明示的な資源管理）・RegExp.escape・Float16Array（24）、Temporal が既定で有効（26）

移行の進め方

1. node --trace-deprecation を付けて 20 のまま動かし、非推奨の警告を洗い出す（削除される API の多くは 20 でも警告が出る）
2. 公式の codemod（移行ガイドに記載）で機械的に書き換えられる箇所を直す
3. ネイティブアドオンの依存を洗い出す（npm ls で node-gyp・prebuild を使う物）
4. 24 で全テストを流す。TLS 接続先の鍵長と、Windows の .cmd 起動を重点的に確かめる
5. 24 で安定したら 26 を試す

対処

優先順位

1. 外部と通信するサーバ・ツールから上げる。Brotli を展開する Web サーバ、fetch で外部へ取りに行く処理
2. Node.js 20 の環境は 24 へ移す。移すまでの間は、下の暫定策で露出を減らす
3. SEA・snapshot で配っている物は、更新した Node.js で作り直す。実行環境の Node だけを上げても直らない
4. Node.js を内蔵する物を確かめる。Docker のベースイメージ（node:20 等のタグを固定していないか）、Electron、CI のランナ、ディストリのパッケージ（libbrotli も）

移行までの暫定策（恒久対策ではない）

• 受け取る要求の Content-Encoding: br を前段（リバースプロキシ等）で拒否する
• 外部へ fetch する処理は、接続先を許可リストに限る
• 利用者入力のホスト名は、NUL を含むもの・非正規の IP 表記を拒否する

const net = require('node:net');
const url = require('node:url');

// 非正規の IP 表記（0127.0.0.1 など）を拒否する
function isNonCanonicalIP(host) {
	return !net.isIP(host) && net.isIP(url.domainToASCII(host)) !== 0;
}

版の確認

node -v
node -p "process.versions.brotli + ' / ' + process.versions.openssl"

出典

• Node.js — Wednesday, October 21, 2026 Security Releases
• nodejs/release — Release schedule
• Node.js v24.22.1 fixes four HIGH CVEs, tested against v24.22.0 and EOL v25.3.0
• Vercel — Node.js security advisory: Brotli decoder RCE
• Wardio — Node.js Brotli RCE CVE-2026-111497: what to update
• Cyber Security News — Node.js Releases Security Updates
• Imperva — Node2Shell: From Brotli Data to Remote Code Execution
• Aikido — Node2Shell Brotli vuln evolves to HTTP2Shell
• Strobes — HTTP2Shell: Brotli RCE in Node.js and Python
• Cycode — node2shell (CVE-2026-111497): What to Patch

関連: shell-quote のコマンド注入

Node.js 本体ではなく、npm パッケージ shell-quote の脆弱性。シェルのコマンド文字列を組み立てる (quote())・分解する (parse()) ためのパッケージで、多くのツールに間接依存として入っている。

CVE-2026-9277 の仕組み

quote() は、演算子を表すオブジェクト ({ op: ';' } など) の .op を、正規表現 /(.)/g で 1 文字ずつエスケープしていた。JavaScript の . は改行に一致しないため、.op の中の改行がエスケープされずに残る。POSIX シェルは改行をコマンドの区切りと読むので、改行の後ろが別のコマンドとして実行される。

const { quote } = require('shell-quote');
const s = quote([{ op: ';\nid' }]);   // 改行がそのまま残る
require('child_process').execSync(s, { shell: '/bin/sh' });   // id が実行される

1.8.4 では .op を正しい演算子の一覧と照合し、それ以外を受け付けない。

影響する場合

• 影響 外部の入力から作ったオブジェクトのトークンを quote() に渡し、その結果を exec 等でシェルに渡す。parse(cmd, envFn) の envFn がオブジェクトを返す使い方も経路になりうる
• 低 文字列だけを quote() に渡す一般的な使い方。公表された条件は、オブジェクトのトークンに外部の値が入る場合に限られる
• 低 開発時だけ使うツールの間接依存。ただし CI で外部の値を扱うなら確かめる

Node.js の版とは関係が無い。Node.js 20 でも 26 でも、パッケージを上げれば直る。

対処

npm ls shell-quote        # どの依存から入っているか
npm update shell-quote    # 宣言の範囲内なら lockfile の更新で 1.8.4 になる

間接依存の範囲が 1.8.4 を許さないときは、package.json の overrides (pnpm は pnpm.overrides) で上書きする。Debian・Ubuntu のパッケージ (node-shell-quote) は、各ディストリの更新 (Debian は DSA-6300-1) で直る。

根本的には、外部の値を含むコマンドをシェル経由で実行しない。execFile・spawn に引数を配列で渡せば、シェルを通らず、この種の注入は起きない。

出典

• oss-security — CVE-2026-9277: shell-quote before 1.8.4 command injection in quote()
• GHSA-w7jw-789q-3m8p
• Kodem — CVE-2026-9277: shell-quote Command Injection Fix
• Debian DSA-6300-1 node-shell-quote
• Rapid7 — CVE-2021-42740