Google Brotliのデコーダーの脆弱性CVE-2026-111497（Node2Shell、Brotli2Shellなどとも呼ばれています）について、IBM Planning Analytics（TM1）の利用者の視点で整理します。2026年10月30日時点の情報です。
2026年10月30日時点で、IBMからPlanning Analytics（TM1 Server、PAW、TM1 Web、PAfE）についての発表は確認できません。ただし、発表がないことは「影響なし」を意味しません。本記事では「未確定」として扱います。
IBM非公式の個人による記事です。コンポーネント別の懸念点の詳細、今やることの手順、IBMへの問い合わせ文の例は、記事末尾のリンク先（note）にまとめています。
脆弱性の概要
| 項目 | 内容 |
|---|---|
| 対象 | Google Brotli 1.0.3〜1.2.0（修正版：1.0.10、1.1.1、1.2.1） |
| 内容 | デコーダーのバッファオーバーフロー。細工した圧縮データの展開で、メモリ破損・漏えい・停止・コード実行のおそれ |
| 深刻度 | CVSS v4.0：9.2（Google）、CVSS v3.1：8.1（Microsoft .NET向け） |
| Node.js | 26.x、24.x、22.xが対象。10月21日に修正版 |
| .NET | .NET 8〜11が対象（Brotliの展開を有効にしている場合）。.NET Frameworkは対象外 |
| 悪用 | CISAが10月27日にKEVへ追加（米国政府機関の期限は11月10日） |
悪用が成り立つのは、脆弱なデコーダーがあり、実際にそれで展開していて、攻撃者のデータがそこに届く場合です。
PAのコンポーネント別の懸念点
IBMの判定ではなく、公開情報から考えた確認の優先順位です。
| コンポーネント | 懸念 | 優先度 |
|---|---|---|
| PAW | IBMの過去のセキュリティ情報から、Node.jsやその部品（node-tarなど）を含むことが分かっている | 高 |
| TM1 Web | Java／Libertyで動くWebアプリ。Java向けBrotliライブラリの有無は公開情報からは不明 | 中 |
| TM1 Server | Brotliを使う公開情報はなし。LinuxではOSのBrotliパッケージを確認 | 中 |
| PAfE | .NETのアドオン。どの.NETで動くか、Brotliを展開するかは公開情報からは不明 | 中 |
手がかりを集めるコマンド（参考）
見つかっても影響ありとは限らず、見つからなくても影響なしとは言えません。
# Linux：OSのパッケージと共有ライブラリ
rpm -qa | grep -i brotli
ldconfig -p | grep -i brotli
# PAWのコンテナ：Node.jsのバージョン
docker ps --format '{{.Names}} {{.Image}}'
docker exec <コンテナ名> node --version
IBM製品のコンテナやインストール先の中で、Node.jsやライブラリを独自に更新・差し替えるのは避けてください。サポート対象外の構成になるおそれがあります。
今やること
- PAW、TM1 Web、REST APIに届く範囲を確かめて絞る（インターネット公開があれば最優先）
- IBMサポートに影響を問い合わせる
- コンテナやプロセスの異常終了、予期しない再起動を見張る
- PAの周辺のNode.js／.NETアプリ、OSのBrotliパッケージは、それぞれの案内に沿って更新する
- IBMのセキュリティ情報を追う
もっと詳しく
「発表がない＝影響なし」と言えない理由、コンポーネント別の懸念点、IBMへの問い合わせ文の例（英語）は、noteにまとめています。