HTTP2ShellとPHP2Shell、植木鉢団のツールへの影響を確認しました
2026年10月21日ごろから、HTTP2ShellとPHP2Shellという2つの脆弱性が報じられています。 植木鉢団で公開しているWebツールとAndroidアプリについて、影響を確認しました。 どちらも、植木鉢団の側で対応が必要なものはありませんでした。
PHP2Shell
PHPの脆弱性として報じられているものです。 植木鉢団のサイトとツールはPHPを使っていないので、関係がありません。
HTTP2Shell
名前にHTTP/2と付いていますが、HTTP/2の不具合ではなく、Brotliという圧縮形式の展開処理にある脆弱性です（CVE-2026-111497）。 細工したBrotliのデータを、修正前の展開処理に読み込ませると、メモリの範囲外への書き込みが起き、条件によってはプログラムを乗っ取られる、とされています。 影響を受けるのは、Node.js、Pythonのライブラリなど、Brotliの展開処理を中に持っているソフトウェアです。
植木鉢団のWebツールは、配信したファイルを利用者のブラウザの中で動かす作りで、サーバー側で受け取ったデータを展開する処理を持っていません。 攻撃の入り口になる部分がない、という判断です。
※Brotliを使っているツールが1本だけあります。 Kirinukumaは、背景の削除に使うAIモデルをBrotliで圧縮して配信しています。 展開するのは利用者のブラウザで、展開されるのは植木鉢団が置いたモデルのファイルなので、外から細工したデータを差し込む経路はありません。
Androidアプリの3本（ぽいぽい日記、Rhythm × Rest、写真圧縮ゲート）も、アプリの中でBrotliを扱っていません。
※ツールの配信にはCloudflareを使っています。 Cloudflare側の対応状況は、公式の発表を見つけられていません。
利用者の方へのお願い
ツール側の対応はありませんが、ブラウザ自体がBrotliの展開処理を持っていて、どのサイトを見るときにも使っています。 ChromeとFirefoxは修正済みと報じられているので、ブラウザは最新の状態に更新しておいてください。 ※Safariの対応状況は確認できていません。
開発でNode.jsを使っている方は、修正版（22.23.4、24.22.1、26.12.1）への更新が案内されています。 Node.js 20以前と25はサポートが終了しているため、修正版は出ないとのことです。
脆弱性の内容は、Claudeに公開情報を集めてもらったもので、一次情報はNode.jsの公式発表です。 ツールごとの確認も、ソースコードをClaudeと一緒に読んで判断しました。