平素より「WafCharm」をご利用いただき、誠にありがとうございます。

データ圧縮ライブラリ「Brotli」において、認証されていない第三者によるリモートコード実行（RCE）につながる可能性のある重大な脆弱性「Node2Shell／HTTP2Shell」（CVE-2026-111497）が発表されました。

当サービスをご利用中のお客様への注意喚起とWafCharmでの対応についてご案内いたします。
Brotliおよび関連ソフトウェアをご利用のお客様は、修正版へのアップデートを最優先で実施いただきますようお願いいたします。

<WafCharmでの対応状況>
WafCharmでは、昨今の情勢を受け、緊急性の高い脆弱性を悪用した攻撃のリスクを緩和するため、仮想パッチルールを追加しております。

■AWS WAF v2（Legacyルールポリシー）
本脆弱性への対策シグネチャを追加したルールの更新を行い、対象となるWAF Configへの反映を完了しております。
該当ルールが反映されていないなどお困りの際は、ご利用のWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

■AWS WAF v2（Advancedルールポリシー）
本脆弱性への対策シグネチャを追加したルールの更新を行い、自動適用対象となるWAF Configへの反映を完了しております。
なお、WAF Configの設定で「正規表現ルールを自動更新しない」を有効にされている場合は、今回の対策ルールは自動適用されておりません。
該当するWAF Configへの適用をご希望の場合は、正規表現ルールの更新対応が必要となりますので、ご利用のWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

■Azure
本脆弱性への対策シグネチャを追加したルールの更新を行い、対象となるWAF Configへの反映を完了しております。
該当ルールが反映されていないなどお困りの際は、ご利用のWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

■Google Cloud
Google Cloud Armorをご利用のお客様には、本脆弱性への対策として、カスタマイズルールによる対応をご提供可能です。
適用をご希望の場合は、ご利用のWafCharmアカウントに登録されているWAF Configの名前を添えて、WafCharmサポートまでご連絡ください。

<補足事項>
今回のルール更新は、本脆弱性を悪用した攻撃のリスクを緩和するための対策となります。引き続き調査を進め、必要に応じて追加の対策やルールの更新を検討してまいります。
また、WAFによる対策は攻撃リスクを緩和するための補完的な対策であり、すべての攻撃を防ぐものではなく、脆弱性そのものを修正するものでもありません。
お客様におかれましては、ご利用環境におけるBrotliおよび関連ソフトウェアの使用状況や影響の有無をご確認いただき、影響を受けるバージョンをご利用の場合は、修正版への速やかなアップデートをお願いいたします。

<参考情報>
・Node.js公式サイト：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

ご不明な点がございましたら、WafCharmサポート窓口までお問い合わせください。
（WafCharmの管理画面にログインした後、ヘッダーのメニューの「Contact」からご連絡ください。）