OpenAI、Brotliに重大なリモートコード実行の脆弱性を発見
OpenAIの研究者が、CVE-2026-111497として登録されたBrotliの重大な脆弱性を発見しました。この脆弱性はNode2Shellとも呼ばれています。圧縮ライブラリのデコーダーにおける境界外書き込みの欠陥で、悪意を持って細工された圧縮データを使い、認証されていない攻撃者がコードを実行できる可能性があります。CVSSスコアは9.2で、クライアント側とサーバー側の両方のアプリケーションに影響するおそれがあります。
このBrotliの脆弱性を受け、Node.js、Bun、Envoyおよび複数のPythonパッケージでセキュリティ更新が行われました。Node.jsのユーザーはバージョン22.23.4、24.22.1、または26.12.1にアップグレードしてください。Bunは1.4.4より前のバージョンが影響を受けます。概念実証コードが公開されており、Impervaの研究者は、影響を受けるNode.jsビルドに対して安定して攻撃を実行できることを実証しました。ただし、2026年10月23日時点で、攻撃が広範囲に行われていることを示す公開情報はありませんでした。
このソフトウェアの欠陥によって暗号資産トレーダーが直接影響を受けることはありません。しかし、取引所、ウォレットサービスなどの暗号資産プラットフォームは、脆弱なBrotliコンポーネントを使用していないか確認する必要があります。特に、信頼できない圧縮データを処理する箇所は注意が必要です。この事例は、デジタル資産分野全体で使われているソフトウェアインフラが直面するサイバーセキュリティ上のリスクを浮き彫りにしています。
Neutral
この脆弱性は、暗号資産の価格、トークン供給量、ブロックチェーンプロトコルの活動と直接の関連がないため、市場への影響は中立と見るのが最も適切です。直ちに関係するのは運用面です。暗号資産取引所、カストディアン、ウォレット事業者などのサービスは、ランタイムや依存関係を通じてBrotliを利用している可能性があり、攻撃が成功すればサービスの中断やシステムの情報露出につながるおそれがあります。トレーダーは各プラットフォームのインシデント報告を注視してもよいでしょうが、記事では影響を受けた暗号資産関連企業やサービスは特定されていません。
短期的には、概念実証コードと高い深刻度評価を受け、影響を受ける企業がセキュリティレビューやパッチ適用を行い、慎重なリスク管理を進める可能性があります。大手取引所やウォレット事業者が悪用や障害を公表した場合、利用者が資産を引き出したり利用を控えたりし、当該プラットフォーム固有の変動が生じる可能性があります。記事では広範な悪用は報告されておらず、市場全体への影響を予想する根拠は限られています。
長期的には、この事案をきっかけに、暗号資産企業が組み込まれたオープンソースコンポーネントを監査し、サプライチェーンのセキュリティを強化する可能性があります。同様のソフトウェア脆弱性は一般に、暗号資産市場全体の持続的な値動きではなく、対象を絞った運用上の対応を促してきました。ただし、侵害の確認、資金の損失、または長期的なサービス停止につながる場合は別です。したがってトレーダーは、一般的なインフラリスクと、暗号資産業界で特定の事案が発生した証拠を区別する必要があります。