AIを活用したオフェンシブサイバーセキュリティ企業のTheoriは10月26日、Node.jsランタイムで見つかった重大脆弱性「Node2Shell（CVE-2026-111497）」に関する緊急対応ガイドを公開したと発表した。再現と検証を終えた結果を踏まえ、企業や機関に向けて対策をまとめた。

Node2Shellは、Node.jsに組み込まれている、またはリンクされているBrotliデコーダーの境界外書き込みの欠陥に起因する脆弱性。攻撃者は追加の認証なしに、細工したBrotliデータを送り込むことでサーバーを停止させたり、メモリ情報の漏えいやリモートコード実行を通じてサーバーの制御権を奪ったりする可能性がある。Node.js公式の深刻度評価は「High」とされている。

影響を受けるのは、Node.js 22.x、24.x、26.x系のうち、最新のセキュリティパッチが適用されていないバージョン。Node.jsのセキュリティチームは、修正を含むパッチとして22.23.4、24.22.1、26.12.1以降への更新を強く推奨している。公式サポートが終了したNode 20以下については、利用中のOSディストリビューションやLTS支援ベンダーによるセキュリティ更新の有無を確認する必要がある。

Theoriは、運用環境の制約からNode.jsをすぐに更新できない企業向けに、パッチ適用までの暫定的な緩和策も提示した。具体的には、Nginxなどのリバースプロキシやアプリケーション層で講じる対策を案内している。あわせて、追加スクリプトを導入せず、運用中サービスのURLだけでNode2Shellの影響有無を無償で診断できるオンラインサービス「nodejsguard.io」も公開した。

TheoriでAI・サイバーリサーチチームを統括するイム・ジュンオ氏は、「今回のNode2Shellは、開発者が圧縮機能を直接使っていなくても、Webフレームワークがレスポンスを処理する過程で自動的に攻撃にさらされる可能性がある。何より重要なのは事前の遮断だ」とコメントした。

その上で同氏は、「攻撃経路となり得る箇所をできるだけ早く診断できるよう、無償の点検サービスを用意した。暫定措置とあわせて、最新パッチの適用を急いでほしい」と呼びかけた。