「いつもの通販サイトで注文できない」「予約の途中で画面が止まった」。もしネットサービスの裏側でHTTP2Shellが悪用されたら、利用者にはこうした形で影響が出る可能性があります。
HTTP2Shell（エイチティーティーピーツーシェル）は、通信データを小さくする技術「Brotli（ブロトリ）」の不具合に付けられた通称です。識別番号はCVE-2026-111497。問題は、圧縮されたデータを元に戻す処理にあります。
大事なのは、脆弱性（攻撃に悪用されるおそれがあるソフトの弱点）があることと、実際に被害が発生したことは別だという点です。この記事では、2026年10月26日時点で確認した公式情報をもとに、起こり得る影響と利用者ができる対応を整理します。
先に知っておきたい3つのこと
- 影響する仕組みが攻撃されると、サービス停止や情報漏えいなどにつながる可能性があります。
- すべてのWebサイトやスマートフォンが、一律に危険になったわけではありません。
- 根本的な修正はサービス提供側の仕事です。利用者は公式のお知らせと、自分の注文・利用履歴を確認しましょう。
HTTP2Shellとは？「荷ほどき係」の不具合
Webサイトでは、通信量を減らすためにデータを圧縮することがあります。荷物を小さな箱に詰めて送るようなイメージです。受け取った側では、箱を開けて元のデータに戻します。Brotliは、この圧縮・展開に使われる技術の一つです。
今回の問題は、この「箱を開ける係」が、細工されたデータを適切にエラーとして止められないことです。その結果、プログラムの作業場所であるメモリを壊してしまい、停止などにつながる可能性があります。
Node.jsの公式発表は、細工されたBrotliデータをアプリが展開すると、プログラムの停止、メモリ内の情報の漏えい、外部からのプログラム実行につながる可能性を説明しています。［1］
名前に「HTTP2」が入っていますが、確認されている問題の本体はBrotliの展開処理です。「HTTP/2対応サイトはすべて危険」という読み方はできません。
利用者には、どんな影響がある？
以下は、公式情報が示す技術的な影響を、普段の利用場面に置き換えた例です。HTTP2Shellで実際に発生した被害事例を紹介するものではありません。
| 起こり得ること | 利用者から見える影響の例 | そのとき確認すること |
|---|---|---|
| サービスが止まる | 買い物・予約・ログインができない | 公式の障害情報、注文や予約の成立状況 |
| 処理中の情報が漏れる | サービスが扱う情報の一部が第三者に見られるおそれ | 事業者が公表する対象者・情報項目 |
| サーバーで不正な処理を実行される | サービスの改ざんなど、被害が広がるおそれ | 事業者の調査結果と利用者への指示 |
| 予防のため一時停止される | 被害が確認されていなくてもサービスを使えない | 停止理由、再開予定、代替手段 |
「情報漏えいの可能性」が、そのまま「全会員の個人情報やカード番号が盗まれた」という意味になるわけではありません。実際に何が漏れ得るかは、攻撃された部分が扱う情報や権限、攻撃の成否によって変わります。
また、サービス停止だけで原因をHTTP2Shellと決めつけることもできません。アクセス集中や別の障害でも同じような症状は起こります。原因の確認には、事業者の発表が必要です。
どんなサービスで問題になるの？
通販、予約、SNSといったジャンルだけでは判別できません。ポイントは、不具合のあるBrotliライブラリ（ソフトの部品）が使われ、攻撃者の用意したデータをその部品で展開する経路があるかです。Red Hatも、この条件が悪用に必要だと説明しています。［2］
例えば、外部から届く圧縮データを処理するサービスや、利用者が入力したURLの情報を外部サイトから取得する機能などでは、こうした経路の有無を管理者が調べる必要があります。これは処理の仕組みから考えられる確認例で、これらの機能があれば必ず危険という意味ではありません。
通信を中継するソフト「Envoy」の公式情報でも、影響する条件としてBrotliの展開機能を設定した環境が挙げられています。［3］
現状は？修正版は公開済み、被害の断定はできない
Google Brotliは、10月21日付のバージョン1.2.1のリリース情報に、CVE-2026-111497の修正を掲載しています。Node.jsも同日付のセキュリティ情報で修正版を案内しています。日付はいずれも公式ページの表記です。［4］［1］
| 確認したソフト | 公式に案内された修正版 |
|---|---|
| Google Brotli | 1.2.1 |
| Node.js | 22.23.4／24.22.1／26.12.1 |
| Envoy | 1.36.12／1.37.8／1.38.6／1.39.3／1.40.0 |
この表は確認できた例で、影響する製品を網羅したものではありません。また、修正版の公開と、各サービスへの適用完了は別です。利用者がサービス全体の対策状況を判断するには、その事業者の案内を確認する必要があります。
2026年10月26日に確認したRed Hatの説明では、外部からプログラムを実行する攻撃を確実に再現できる公開コードは、確認されていないとされています。ただし、これは「攻撃は不可能」「世界中で被害がゼロ」と証明する情報ではありません。［2］
本記事の調査範囲では、HTTP2Shellを原因とする具体的な利用者被害を公式資料で確認できませんでした。未確認の被害件数や、影響する国内サービス名は記載していません。
利用者が今できる対策
1．公式アプリやブックマークから、お知らせを確認する
利用中のサービスが対応を発表したら、対象者、停止する機能、再開予定、必要な手続きを確認します。SNSの投稿やメールのリンクだけを頼りにせず、普段使っている公式アプリや保存済みのブックマークから開くと、偽サイトへ誘導されるリスクを減らせます。
2．決済や予約の途中で止まったら、成立状況を先に調べる
「画面が進まなかったから、もう一度購入しよう」と操作する前に、注文履歴・予約履歴・確認メールを調べましょう。結果が分からなければ、注文時刻などを控えて公式窓口へ問い合わせます。これはHTTP2Shellに限らず、障害時の重複注文を避けるための対応です。
3．漏えいの案内が出たら、対象情報に合わせて動く
パスワードの流出や再設定の案内が出た場合は、公式の手順で変更します。同じパスワードを別のサービスでも使っていれば、そちらも別々のものに変更しましょう。決済情報への影響や身に覚えのない請求がある場合は、公式の案内を確認し、カード会社などの窓口へ連絡します。
HTTP2Shellのニュースを見たことだけを理由に、すべてのカードを止めたり、すべてのアカウントを作り直したりする必要があるとは判断できません。自分が対象か、どの情報に影響したかを確認して対応することが大切です。
4．普段のアカウント対策も進める
パスワードを使い回さない、使えるサービスでは多要素認証を有効にする、端末やアプリを更新する。この基本対策は、HTTP2Shellに限らず役立ちます。多要素認証は、パスワード以外の確認を加える仕組みです。［5］
ただし、スマホの更新や多要素認証によって、サービス提供側のBrotliの不具合が直るわけではありません。自分のアカウントを守る対策と、サーバーの修正はそれぞれ必要です。
よくある疑問
サイトを見ただけでスマホが乗っ取られるの？
今回確認した公式情報だけから、一般のスマホ利用者がWebサイトを開くだけで一律に乗っ取られるとはいえません。問題になるのは、弱点のある部品が細工されたデータを展開する場合です。個別のブラウザやアプリへの影響は、それぞれの提供元の情報で確認する必要があります。
セキュリティソフトを入れれば解決する？
利用者がセキュリティソフトを入れても、利用先のサーバー内にある不具合そのものは修正できません。今回の根本対策は、事業者が影響するソフトを修正版へ更新することです。
HTTPSや鍵マークがあれば大丈夫？
HTTPSは通信を暗号化する仕組みです。通信相手のソフトに今回の不具合がないことまで保証するものではありません。鍵マークだけではHTTP2Shellの対策状況は分かりません。
PHP2Shellへの対策が済んでいれば安心？
PHPの問題への対応が完了していても、Brotliの修正状況までは分かりません。提供事業者へ問い合わせる際は、「CVE-2026-111497の影響確認と対策状況」を尋ねると、問題を取り違えにくくなります。
サイトを運営している人は、管理会社へ何を聞けばいい？
小規模なブログや企業サイトを運営していて、自分でサーバー内部を確認できない場合は、次の3点を管理会社や制作会社へ伝えましょう。
- CVE-2026-111497の影響を受けるBrotliの部品を使用しているか。
- 外部のデータを、その部品で展開する処理があるか。
- 影響する場合、修正の適用状況と、利用者への案内が必要か。
修正まで時間がかかる場合、Red Hatは信頼できない相手からのBrotliデータの展開を制限するなどの対策を示しています。設定変更はサービスへの影響もあるため、管理者が構成を確認して判断する必要があります。［2］
まず確認したいのは「自分に必要な対応」
HTTP2Shellで利用者が困る可能性があるのは、サービスを使えなくなることや、サービス側が扱う情報への影響です。一方で、脆弱性のニュースだけでは、利用しているサイトが被害を受けたかどうかは分かりません。
利用中のサービスのお知らせを確認する。注文や予約が止まったら履歴を調べる。漏えいの案内があれば、対象情報に合わせて対応する。この順番で、必要な行動を選びましょう。
参考にした公式情報
- Node.js：2026年10月21日付セキュリティリリース
- Red Hat：CVE-2026-111497の評価・緩和策
- Envoy：Brotli展開処理のセキュリティ情報
- Google Brotli：v1.2.1リリース情報
- CISA：Secure Our World（一般的なアカウント・端末対策）
確認日：2026年10月26日（日本時間）。今後の発表で、影響範囲や必要な対応が変わる可能性があります。
