kz

怖い名前の脆弱性ほど、 やることはシンプルだ。 ここ数日、 SNSで「HTTP2Shell」という 脆弱性（セキュリティの穴）の名前が飛び交っている。 名前だけ聞くと、 ネットの仕組みそのものが壊れたように聞こえる。 正体は、 「Brotli（ブロトリ）」という データ圧縮の部品の欠陥だ。 （※正式な番号は CVE-2026-111497。HTTP2Shellは通称） Brotliは、 ホームページのデータを ぎゅっと縮めて送り、 受け取った側で元に戻す道具。 ページを速く表示するために、 多くのソフトに組み込まれている。 その「元に戻す」ところに、 穴があった。 条件がそろうと、 ログインなしで、 ネット越しに相手の機械を 乗っ取れるおそれがある。 深刻度は、 Googleの評価で １０点満点中９．２。 ただし、 いまのところ 実際に攻撃されたという 確かな報告は出ていない。 いちばん関係するのは、 サーバーや、 開発の道具の方だ。 先日書いたNode.jsも、 その一つ。 １０月２１日に、 修正版が出ている。 では、 ふつうにパソコンを使う人は？ ここは、 正確に書いておく。 ブラウザやWindows、 スマホを作る会社からは、 １０月２４日時点で、 この件の発表は見当たらない。 SNSでは有名なアプリの名前も挙がっているが、 公式の情報では確かめられていない。 影響があるとも、 ないとも、 まだ言えない。 分からない時こそ、 いつもの守りが効く。 やることは、 この３つ。 ✅ パソコンの更新を当てる Windowsは「設定」の「Windows Update」から。 Macは「システム設定」→「一般」→ 「ソフトウェアアップデート」から。 ✅ ブラウザを最新にする Chromeは、 右上の「︙」→「ヘルプ」→ 「Google Chrome について」を開く。 更新が始まったら、 最後に「再起動」。 Edgeは「…」→「ヘルプとフィードバック」→ 「Microsoft Edge について」。 ✅ アプリは、 一度閉じて開き直す 開き直した時に、 更新が入るものが多い。 スマホは、 ストアの「アップデート」から。 パソコンを何日もつけっぱなしの人は、 再起動するだけで、 たまった更新が入ることも多い。 もう一つ、 大事なこと。 更新は、 必ず「設定」か「アプリの中」から。 「今すぐ更新を」というメールや、 広告のリンクからは入れない。 騒ぎの時ほど、 偽物の案内が紛れ込みやすい。 ホームページや業務システムを 外に任せている社長は、 先日のPHPの件と同じく、 一言だけ聞いてみよう。 「Brotli（ブロトリ）の件、 うちは対応済みですか？」 ちなみに、 この穴を見つけたのは、 ChatGPTを作るOpenAIのセキュリティ研究チームだ。 AIの会社が、 世界中で使われる部品の 穴を見つける時代になった。 見つかる穴が増えれば、 届く更新も増える。 これからは「更新を当てる」が、 歯みがきのような日課になる。 その日課も、 AIを相棒にして回せる。 AIエージェント（Claude CodeやCodexのように、 パソコンの中で作業してくれるAI）を入れているなら、 コメント欄のプロンプトで自己検査ができる。 パソコンの中のBrotliとNode.jsを、 アプリの中に入っている分まで調べさせる。 分からないものは「不明」と答えさせ、 変更も削除も再起動もさせない。 結果を読んで、 決めるのは自分だ。 対策も、 AIエージェントが示す手順に沿って 操作すれば、 そのまま進められる。 手順の意味が分からなければ、 「これは何をする操作？」と聞き返そう。 名前は怖くても、 やることはシンプルだ。 更新を当てて、 再起動する。 あなたのパソコン、 最後に再起動したのは いつだろうか？ AIエージェントを入れている人は、 コメント欄のプロンプトで、 ぜひ一度試してみて。 出典も、 コメント欄に。