この記事でわかること
- Brotliの脆弱性「CVE-2026-111497」で何が起きるのか
- .NET 8／9／10の修正版と更新方法
- 更新を確認すべき人と、Node.js・Pythonなど他の環境の修正状況
.NET 8～10に定例外のセキュリティ更新
Microsoftは2026年10月25日（米国時間）、.NET 8.0・9.0・10.0向けに定例外（アウトオブバンド）のセキュリティ更新を公開しました。修正版のバージョンは、.NET 8.0.33、9.0.22、10.0.14です。次期版の「.NET 11」もRelease Candidate 3（RC3）が同時に更新対象となっており、RC2の利用者にはRC3への更新が案内されています。
中心となるのは、圧縮形式「Brotli」のデコーダー（圧縮データを元に戻す処理）に見つかった脆弱性「CVE-2026-111497」の修正。Windows向けのメモリ破損の脆弱性なども併せて修正されています。Microsoftは、10月13日の月例更新を適用済みでも、対象の製品やパッケージを使っている場合は今回の更新を改めて適用するよう案内しています。
Brotliの脆弱性「CVE-2026-111497」とは
BrotliはGoogleが開発したデータ圧縮形式で、Webサーバーとブラウザー間の通信量を減らす用途を中心に広く使われています。
今回の脆弱性は、GoogleのBrotliライブラリ1.0.3～1.2.0のデコーダーに存在する範囲外書き込みです。細工された圧縮データを展開させることで、プロセスの停止やメモリ内容の読み取り、場合によってはコード実行につながるおそれがあります。CVEを割り当てたGoogleは、深刻度をCVSS 4.0で9.2（Critical）と評価しています。
Brotli本体の修正版は1.2.1（旧系列は1.1.1、1.0.10）で、10月21日に公開されました。最初にNode.jsが修正したことから「Node2Shell」、影響範囲の広がりを受けて「HTTP2Shell」とも呼ばれていますが、指しているのは同じ脆弱性です。名前に「HTTP2」とあっても、HTTP/2プロトコル自体の欠陥ではありません。
影響を受けるのはBrotliデータを展開するアプリ・サービス
対象になるのは、脆弱なBrotliデコーダーで外部から受け取った圧縮データを展開するアプリやサービスです。.NETについては、Microsoftが修正対象を「影響を受けるBrotliデコーダーを使用するすべてのプラットフォーム」としています。
.NETの場合、Webアプリがリクエストを受け取るときの展開や、HttpClientがレスポンスを受け取るときの自動展開で、Brotliが既定で有効になっているわけではありません。主な対象は、Brotliの展開を有効にしたり展開用のAPIを明示的に使ったりして、外部から届く不正なBrotliデータを処理するアプリです。.NETで作ったWebサービスや業務アプリを開発・運用している場合は、Brotliの使い方とあわせて実行環境のバージョン確認が欠かせません。
Brotliは多くのソフトに組み込まれているため、.NET以外でも修正版が出ています。
- Node.js：22.23.4、24.22.1、26.12.1（10月21日公開）
- Python：Brotliパッケージ 1.2.1、brotlicffi 1.2.1.0
更新方法
Windowsのクライアント環境では、Microsoft Update経由で更新を受け取れます。Windows Serverでは、WSUSやMicrosoft Updateカタログからも入手可能です。現在入っているバージョンは、コマンドプロンプトなどで「dotnet --list-runtimes」を実行すると確認できます。
手動で導入する場合は、.NETの公式ダウンロードページから最新版を入手します。Visual Studioと一緒に導入した場合はVisual Studio Installerで、Linuxなどでパッケージマネージャーから入れた環境はその方法で更新してください。使用中のファイルがあると再起動が必要になることがあるため、.NETで動くアプリを終了してから適用すると確実です。
注意したいのは、アプリの配布形態によってはこれだけでは対策にならない点です。ランタイムをアプリに同梱する自己完結型（self-contained）アプリは、PCやサーバー側の共有ランタイムを更新しても同梱分は置き換わらないため、修正版ランタイムで再ビルドし、配布し直す必要があります。コンテナで動かしている場合も、修正版を含む更新済みイメージで再ビルド・再デプロイが必要です。
なお、.NET 8、.NET 9のサポートは2026年11月10日に終了する予定です。今回の更新を適用したうえで、.NET 10への移行計画もあわせて確認しておきたいところです。
公式情報
- .NET 8.0 Update – October 25, 2026（Microsoft Support）
- .NET 9.0 Update – October 25, 2026（Microsoft Support）
- .NET 10.0 Update – October 25, 2026（Microsoft Support）
