重要
Brotli の脆弱性に関する ArcGIS への影響について
｜
2026 年 10 月 22 日 (太平洋標準時)、Open AI のセキュリティ研究者は、Google の Brotli デコーダーに重大な脆弱性が存在することを発表しました。この脆弱性は CVE-2026-111497 として識別されています。
この CVE はメディアから大きな注目を集め、2026 年 10 月 27 日 (太平洋標準時) には「既知の悪用された脆弱性 (KEV)」としてリストアップされたため、お客様から ArcGIS ソフトウェアへの影響について問い合わせが寄せられています。メディアでは、この脆弱性について「Node2Shell」、「Broccoli2Shell」、「HTTP2Shell」など、複数の名称で報じられています。
現在、Esri の各製品に対する本脆弱性の影響について調査を進めています。次の環境において以下の対応措置を行って下さい。
ArcGIS Pro、ArcGIS Web Adaptor (IIS)、および ArcGIS Server SOE / SOI
- これらの製品が導入されている環境では、当社の製品とは別に、Microsoft の .NET が利用されています。 すみやかに、 Microsoft .NET をパッチ適用済みバージョンへ更新してください（リンク [英語])。
- このコンポーネントを定期的に更新する手順を整備されるよう強く推奨します (参照: ArcGIS Enterprise セキュリティ強化ガイド [英語]）。
ArcGIS Online
- 対応措置はすでに実施されており、更新作業が進行中です。
補足
- ArcGIS Server SOE / SOI は国内サポート対象外のコンポーネントです。SOE/SOI は、ArcGIS Enterprise の標準構成で自動的に使用されるものではなく、利用するためには個別に開発・配置し、対象のサービスで有効化する必要があります。
- CVE-2026-111497 は、弊社製品の使用にかかわらず、Microsoft .NET をご利用の場合に影響があることが報告されております。詳細はマイクロソフト社の Webサイトに記載の情報をご参照下さい。