Node.jsが同梱するBrotliデコーダーの境界外書き込みの脆弱性「Node2Shell」（CVE-2026-111497）について解説しています。

主な内容は以下の通りです。

• 脆弱性の概要: CVSS v4.0スコア9.2（Critical）と評価され、不正な圧縮ストリームによるエラー無視やバッファ超過書き込みに起因する。

• 影響と到達経路: サポート内の修正バージョン（22.23.4、24.22.1、26.12.1）への更新が必要。Express 5のデフォルトJSONパースやサーバーサイドの fetch() などが到達経路となり、DoSや限定的なコード実行のリスクがある。

• 対策: 修正版へのアップデートやBunのアップグレードに加え、ランタイムでの不正な挙動検知や最小権限の徹底が重要であると警鐘を鳴らしています。