サイバーセキュリティ日報｜2026年10月29日：Brotli修正の実反映を確認する

AWSがBrotli脆弱性への対応状況を公開。Lambdaの段階配信、Node.js 24の確認方法、コンテナと外部応答の展開経路を点検します。

対象：2026年10月28日08:00〜29日08:00（日本時間）。重要な新規一次情報は1件です。新しい脆弱性の発見ではなく、既知のBrotli問題についてクラウド側の対応・確認方法が具体化しました。前回の認可製品発表から、今回は実行基盤の更新証跡へ焦点を移します。

## AWS：Brotli修正は「ランタイム任せ」で完了しない

AWSは10月28日15:00 PDT（29日07:00 JST）、CVE-2026-111497の対応状況を公開。細工されたBrotli入力の展開によるメモリ破壊・情報漏えい・コード実行の問題です。Node.jsでの修正公開は10月21日であり、本日の新発見ではありません。エージェントが取得する外部HTTP応答や圧縮データも、アプリが展開すれば攻撃面になります。

締切後の出典注記：参照するAWS通知の最終更新は10月29日14:00 PDT（10月30日06:00 JST）で、この日報の締切後です。以下のランタイムと対応の詳細は更新後の通知に基づき、初版に記載されていたかは独立に確認できていません。何が変わったか：AWSはLambdaのマネージドサービス自体と、影響するNode.js／.NETランタイムを区別しました。コンテナのベースイメージ更新と、利用者が再ビルド・再配備を終えたことも別です。ZIP版は段階的・リージョン別の反映で、予定日を全環境の修正完了と解釈できません。

具体的対応：利用者管理のNode.jsは修正済みの22.23.4／24.22.1／26.12.1以降の適切なサポート版へ。コンテナは修正済みベースから再構築し、関数・レイヤーが独自に持つBrotliも棚卸しします。Lambda Node.js 24では回帰問題を避けて既存版へ修正を適用するため、process.versionだけでは確認できません。AWSはコールドスタート時のINIT_STARTで、22はnodejs:22.mainline.v157以上、24はnodejs:24.mainline.v114以上を確認するよう案内しています。

脅威モデルへの影響：WAFで受信のContent-Encoding: brを止めても、上流サービスから返る圧縮応答は対象外です。MCP／取得ツールを含むデータ経路ごとに「どのプロセスが展開するか」を確認し、未修正ならその経路の展開を停止する判断が必要です。今回確認した一次情報には実悪用を示す記載はなく、未記載を未悪用の証明とは扱いません。

一次情報：[AWS対応状況（10月28日PDT）](https://aws.amazon.com/security/security-bulletins/2026-155-aws/)／[Node.js修正告知（10月21日）](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)。反映予定と実際の稼働版は分けて確認します。

## 判断

今すぐ対応：Brotliを展開するエージェント・MCP・コンテナを棚卸しし、更新と稼働版確認。検証候補：悪性応答を想定した展開経路、ZIPの実反映、独自ライブラリの残存。継続監視：AWSの反映状況と他実装の修正。Passkey・TEE・能力ベース認可では、今回の調査範囲に設計判断を変える新規一次情報は確認できませんでした。