「PHP2shell」と「HTTP2Shell」は別の脆弱性
（Brotliの脆弱性 CVE-2026-111497 をやさしく解説、確認依頼が届いたときの答え方）

「PHP2shell」と「HTTP2Shell」の違い

結論：どちらも「〇〇2shell」という名前で、同じ時期に公表されたため混同されがちですが、影響を受けるソフトウェアも、確認すべきことも違います。「2shell」は、攻撃者がサーバーを外から操作できるおそれ（シェルを取られる）を表す呼び名として使われています。

「PHP2shellの対応は済んだから大丈夫」とは言えません。それぞれ別に確認が必要です。なお、同じ脆弱性が「Broccoli2shell」などと呼ばれることもあります。呼び名に迷ったら、CVE番号（CVE-2026-111497）で確認するのが確実です。

Brotli（ブロトリ）とは？

結論：Brotliは、Googleが開発した、データを小さく圧縮して送るための部品です。ホームページの表示を速くするために、Webサーバーやブラウザ、さまざまなソフトウェアの中で広く使われています。

• たとえるなら「荷物の圧縮袋」：
  大きな荷物を圧縮袋で小さくして送り、受け取った側で元に戻す（展開する）ように、通信するデータを小さくして送り、受け取った側で元に戻します。
• 見えないところに組み込まれている：
  Brotliは単独のソフトとして使うよりも、Node.jsやPython、.NETなどの中に「部品」として組み込まれていることがほとんどです。そのため、自分では使っているつもりがなくても、使っているソフトの中に入っていることがあります。

何が起きたのか（CVE-2026-111497）

結論：Brotliの「元に戻す（展開する）」処理に、決められた範囲の外にデータを書き込んでしまう不具合が見つかりました。攻撃者が細工した圧縮データを展開させると、ソフトウェアが止まったり、情報が漏れたり、外部からプログラムを実行されたりするおそれがあります。JPCERT/CC

• 修正版の公開（10月21日）：
  GoogleとNode.jsが2026年10月21日に修正版を公開し、JPCERT/CCは10月26日に注意喚起を出しました。Microsoftも.NETの緊急の更新を公開しています。
• 攻撃の状況：
  攻撃の手順を示すプログラム（PoC）が公開されています。現時点で、実際の攻撃による被害は広く確認されていないと報じられていますが、更新を急ぐ必要があります。BleepingComputer
• 開発元の緩和策はない：
  Googleは、更新以外の緩和策を提供していません。根本的な対策は、修正版への更新です。

影響を受ける主なソフトウェアと修正版

結論：Brotliそのものに加えて、Brotliを組み込んだ次のようなソフトウェアが対象です。使っている場合は、修正版以降に更新してください。

※上記は主なものです。Brotliを組み込んだ製品やサービスは、それぞれの開発元が公表する最新の情報で、対応状況を確認してください。

関連コンテンツ

バンブーハウスの状況

結論：バンブーハウスでは、今回影響を受けるBrotliおよび上記のライブラリ・ミドルウェアは使用していません。

弊社が管理するサーバーやシステムについて、影響の有無を確認しました。弊社サーバーをご利用のお客様は、今回の脆弱性について追加の対応は必要ありません。お客様が独自に導入しているソフトウェアや、他社のサービスについては、それぞれの提供元にご確認ください。ご不明な点があれば、お気軽にお問い合わせください。

「確認・対応依頼」が届いたら｜3つの依頼をやさしく解説

結論：大きな脆弱性が公表されると、取引先や親会社から「影響の有無を至急回答してください」という依頼が届くことがあります。依頼の内容は、多くの場合次の3つです。専門用語が多くて戸惑いますが、聞かれていることはシンプルです。

① 影響有無の確認 ―「使っていますか？」

• 聞かれていること：
  Brotliや、上の表にあるソフトウェアを使っているかどうか。ほかのソフトの中に組み込まれている場合（組み込みコンポーネント）も含みます。
• 使っている場合：
  どの製品の、どのバージョンを使っていて、今回の脆弱性の影響を受けるかどうか。
• 確認の方法：
  ホームページやシステムを管理している会社（制作会社・保守会社）に確認するのが早道です。自社で管理している場合は、技術担当者に技術担当者向けの確認ポイントを確認してもらってください。

② 修正パッチの適用 ―「直しましたか？いつ直しますか？」

• 聞かれていること：
  影響がある場合に、修正版（パッチ）をもう当てたか、まだなら、いつ当てる予定か。
• すぐに当てられない場合：
  修正版を当てるまでの間、どうやって危険を減らすか（暫定的なリスク軽減策）。たとえば、Brotliで圧縮されたデータを受け付けないようにする、などです。

③ 緊急時の対応 ―「いざというとき、止められますか？」

• 聞かれていること：
  脆弱性を悪用されて重大な被害が出そうなときに、サービスを一時的に止める手順が決まっているか。
• 準備しておきたいこと：
  誰の判断で、どの方法で止めるのか、止めたことを誰に知らせるのかを、あらかじめ決めておきます。PHP2shellへの対応でも、安全が確認できるまでサイトをメンテナンス状態にする判断をしました。

依頼文に「まずは影響有無について至急ご回答を」とある場合は、①の「使っているかどうか」だけを先に答えるのが一般的です。②③は、調べた結果に応じて追って回答します。

回答の例文

結論：確認できた事実だけを、短く、はっきり伝えます。わからないことは「確認中」とし、回答の予定日を添えると、相手も社内に報告しやすくなります。

使っていない（影響がない）場合

BrotliのC言語実装における脆弱性（CVE-2026-111497）について、弊社のサーバーおよびシステムでは、Brotliおよび影響を受けるライブラリ・ミドルウェア（組み込みコンポーネントを含む）を使用していないことを確認しました。そのため、本脆弱性による影響はございません。今後、状況に変化があった場合は、あらためてご連絡いたします。

まだ確認中の場合

BrotliのC言語実装における脆弱性（CVE-2026-111497）について、現在、弊社のサーバーおよびシステムでの利用有無を確認しております。〇月〇日までに、影響の有無をご回答いたします。影響があった場合は、修正パッチの適用予定と暫定的な対策をあわせてご報告いたします。

技術担当者向けの確認ポイント

結論：Brotliは多くのソフトウェアに「同梱」されているため、OSのライブラリを更新しただけでは直らない場合があります。使っているソフトウェアごとに確認と更新が必要です。

• ① 同梱されたBrotliを見落とさない：
  Node.jsや.NETは、Brotliを自分の中に持っています。サーバーのBrotliライブラリを更新しても、これらは直りません。それぞれを修正版に更新します。
• ② Pythonは環境ごとに確認する：
  Brotliやbrotlicffiのパッケージは、仮想環境やコンテナーごとに入っています。requests・httpx・aiohttpなどがBrotliを使う設定になっていないかも確認します。
• ③ 更新後は再起動・再構築する：
  更新したら、該当するプロセスを再起動し、コンテナーを使っている場合はイメージを作り直して配置し直します。
• ④ すぐに更新できない場合の暫定策：
  Pythonのアプリケーションでは、Brotliの展開を使わない設定にします。プロキシやファイアウォールで、Brotliで圧縮されたリクエストを受け付けないようにする方法もあります。ただし、外部から受け取る応答のデータを経由した攻撃は防げないため、あくまで更新までのつなぎです。
• ⑤ 侵害の有無も確認する：
  JPCERT/CCは、影響を受けるバージョンを使っていた場合は、侵害を受けていないかの調査もあわせて行うよう呼びかけています。

脆弱性への対応のご相談（無料）

結論：「取引先から確認依頼が来たけれど、何を調べればいいかわからない」「自社のサイトやシステムで何が使われているか把握できていない」という方は、お気軽にご相談ください。

• 影響有無の確認：
  ホームページやシステムの構成を伺い、今回の脆弱性の影響を受けるかどうかを確認します。詳しい確認には、サーバーの契約情報や管理画面での作業へのご協力をお願いする場合があります。
• 回答文の作成のお手伝い：
  確認の結果をもとに、取引先への回答に使える内容をまとめます。
• 今後の備え：
  脆弱性が公表されたときにすぐ対応できるよう、使っているソフトウェアの一覧づくりや、緊急時の手順づくりもお手伝いします。詳しくはセキュアサーバー開発をご覧ください。

パスワードなどの大切な情報は、メールではなく、ご相談のうえ安全な方法でお預かりします。お問い合わせ内容に「脆弱性の影響確認の相談」とホームページのURLをご記入ください。

今回のポイントまとめ

よくあるご質問（FAQ）

Q1. HTTP2ShellはPHP2shellと同じものですか？

いいえ、別の脆弱性です。PHP2shellはPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）、HTTP2Shellはデータの圧縮に使う部品Brotliの脆弱性（CVE-2026-111497）です。一方の対応が済んでいても、もう一方は別に確認する必要があります。

Q2. 普通の会社のホームページも影響を受けますか？

ホームページの仕組みによります。Node.jsやPython、.NETなどで動くシステムや、Brotliの展開を使う設定のサーバーは対象になる可能性があります。PHPだけで動くホームページでも、裏側で使っている部品によっては関係することがあるため、管理している会社に確認するのが確実です。

Q3. パソコンでホームページを見るだけでも危険ですか？

今回の注意喚起は、主にBrotliを組み込んだサーバー側のソフトウェアや開発ツールを対象としています。パソコンで使っているソフトウェア（Visual StudioやPowerShellなど）が対象になっている場合もあるため、OSやソフトウェアの更新は、普段どおり早めに行ってください。

Q4. 使っていない場合も、取引先に回答する必要がありますか？

はい。依頼した側は、回答がそろわないと社内に報告できません。「使用していないことを確認しました。影響はありません」と、確認した事実を短く回答すると親切です。回答の例文もご活用ください。

Q5. バンブーハウスのサーバーを使っていますが、対応は必要ですか？

弊社では、今回影響を受けるBrotliおよび関連するライブラリ・ミドルウェアを使用していないため、弊社サーバーについて追加の対応は必要ありません。お客様が独自に導入しているソフトウェアや、他社のサービスについては、それぞれの提供元にご確認ください。

Q6. 「Node2Shell」「Broccoli2shell」とも聞きましたが、違うものですか？

いずれも、今回のBrotliの脆弱性（CVE-2026-111497）を指す呼び名です。呼び名はさまざまなので、確認や回答の際はCVE番号で伝えると、行き違いを防げます。

参考情報

• BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起（JPCERT/CC、2026年10月26日）
  影響を受けるバージョン、修正版、推奨される対策をまとめた注意喚起です。
• Critical HTTP2Shell Brotli vulnerability triggers emergency patches（BleepingComputer、2026年10月26日）
  Node.js・.NET・Pythonなどの緊急の更新と、PoCの公開状況を報じています。
• PHPの重大な脆弱性「PHP2shell」への対応（バンブーハウス）
  名前の似た別の脆弱性（CVE-2026-109618、CVE-2026-109619）の解説です。