Node.js公式が10月21日に公開したセキュリティアドバイザリによると、Node.jsに同梱されている圧縮ライブラリ「Brotli」の解凍処理に、境界外書き込み(バッファオーバーラン)の脆弱性(CVE-2026-111497)が存在していた。不正な形式の圧縮データを`node:zlib`経由で解凍させることで、プロセスのメモリが破壊され、クラッシュやメモリ内容の漏えい、場合によってはリモートコード実行につながる恐れがあるという。Node.js自身はこの脆弱性を「High(高)」と評価しており、影響を受けるのはNode.js 22.x・24.x・26.xの各系列で、それぞれ22.23.4・24.22.1・26.12.1で修正済み。発見者としてOpenAIの脆弱性調査チーム「Codex Security」(Khai Tran氏、Sylvie Mayer氏)の名前がクレジットされている。
OpenAIは自社のX(旧Twitter)アカウントで、この脆弱性はBrotliを利用するNode.js・Bun・Envoyなど幅広いソフトウェアに影響し、未認証のままリモートでコードを実行できる恐れがあったと説明していると複数の海外メディアが報じている。同社によると、脆弱性の根本原因となるコード変更自体は今年2月にBrotli本体のソースコードに取り込まれていたものの、実際のリリース版として配布されるまで公開されていなかったといい、修正版はBrotli 1.0.10・1.1.1・1.2.1として10月21日に初めて配布された。
Brotliは圧縮効率の高さから幅広いソフトウェアに組み込まれており、影響範囲はNode.jsだけにとどまらない可能性がある。自社のシステムがNode.js以外の経路でBrotliを利用している場合も、個別に対応状況を確認する必要がある。AIGNALの見立てでは、大手AI企業が自社の防御研究チームを通じて外部のオープンソース基盤の脆弱性調査にも関与する動きが広がっていることを示す一例といえる。ただしCVSSスコアでは9.2(緊急)と報じる媒体がある一方、Node.js自身の評価は「High」にとどまるなど、深刻度の評価が発表元によって異なっている点には留意が必要で、自社の利用環境でのリスクは各社が個別に判断する必要がある。
