Brotliデコーダの範囲外書き込みCVE-2026-111497、ライブラリ本体は1.2.1・1.1.1・1.0.10で修正　Node.js以外の同梱先も更新が必要

NVDの記載によると、問題はc/dec/decode.cにあり、不正なブロック切り替えのエラーを無視してしまうことで隣接するデコーダ状態のメモリを破壊できる。リモートの未認証攻撃者が、メモリ内容の漏えい、サービス拒否、場合によっては任意コード実行を起こせる。CWEはCWE-787（範囲外書き込み）とCWE-252（戻り値の未確認）。修正は不正なブロック切り替えをBROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCHとして伝播させる内容で、Bunもこの修正をバックポートするプルリクエストを出している。Node.jsは10月のセキュリティリリースで対応済みだが、Brotliはさまざまなランタイム、プロキシ、言語バインディングに組み込まれているため、OSのパッケージやバンドルされたlibbrotliのバージョンも確認が必要。Debian LTSも更新を告知している。