サマリー

GoogleのオープンソースのBrotli圧縮ライブラリにおける脆弱性（CVE-2026-111497）が2026年10月21日に公開された。攻撃者がコントロールできるBrotliデータを展開する場合にのみアプリケーションが公開されたされる。これは、System.IO.圧縮.BrotliStreamまたはBrotliDecoderを呼び出すか、Brotli解凍を有効にしたSystem.Net.Http.HttpClientを使用することによって行われる。Unity独自のネットワーキングおよびアセットローディングAPI（UnityWebRequestやAssetBundlesを含む）は、Brotliデコーダを使用しません。アプリケーションが公開されたされている場合、細工されたBrotliストリームによってクラッシュさせたり、アプリケーションの権限レベルでコードを実行させたりする可能性があります。

Unity エディターに同梱されている Unity Package Manager クライアントには、影響を受けるライブラリも含まれており、ユーザーが悪意のある、または侵害されたパッケージレジストリからパッケージをダウンロードした場合に影響を受ける可能性があります。開発者はパッチが適用されたエディタバージョンに更新する必要があります。

この脆弱性がUnityアプリケーションで悪用されたという証拠はなく、ユーザーや顧客への影響は特定されていません。Unityは今後のエディタリリースでアップストリームの修正をリリースします。

脆弱性の詳細

CVE ID:CVE-2026-111497

コンポーネントUnityランタイムに同梱されている.NETランタイムno libmonoネイティブ、IL2CPP、CoreCLR）のBrotliデコーダー

アップストリームの影響を受けたバージョン:Brotli 1.0.3から1.2.0まで

アップストリームの固定バージョン:Brotli 1.0.10, 1.1.1, 1.2.1

公開日:2026年10月21日

Brotliパッチの利用可能日:2026年10月21日

影響を受けるバージョン：Unity エディターのバージョン表を見る

脆弱性の種類:Brotliデコーダにおけるバッファオーバーフロー CWE-787

CVSS score:9.2

CVSS vector string:CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

悪用可能性

細工されたBrotliストリームをUnityアプリケーションに解凍させることができる攻撃者は、それをクラッシュさせたり、アプリケーションの権限でコードを実行させたりする可能性があります。

Exposed: アプリケーションが、信頼できないソース（ネットワーク応答、プレイヤーのアップロード、User Generated Content、サードパーティのサーバー）から受信したデータをBrotliStreamまたはBrotliDecoderに渡し、またはHttpClientをBrotli自動解凍を有効にして使用します。これには、プロジェクト内のサードパーティのライブラリやプラグイン内での使用も含まれます。

公開されていない: Brotliデータを決して解凍しない、または作成しコントロールしているBrotliデータのみを解凍するアプリケーション。UnityWebRequestはBrotliを使用しません。AssetBundlesおよびその他のUnityアーカイブ形式は、LZ4、LZ4HC、およびLZMAのみをサポートしています。UnityのフォントローディングはBrotliを使用しません。

Unity Editor: は、1つの例外を除き、Brotliデコーダを悪用可能な方法で使用していません。Unity Package Managerクライアントは、パッケージ署名の検証を行う前にレジストリの応答を解凍するため、悪意のある、またはなりすましたスコープ付きレジストリが脆弱性をトリガーする可能性があります。WindowsとMacでは、バイナリ保護により影響はクラッシュに制限されます。Linuxでは、コード実行が可能かもしれません。

この脆弱性がUnityアプリケーションで悪用されたという証拠はありません。

影響を受けるプラットフォーム

Brotliデコーダは、すべてのプラットフォームおよびスクリプティングバックエンド（Mono、IL2CPP、CoreCLR）に同梱されている.NETクラスライブラリの一部です。アプリケーションが影響を受けるかどうかは、それが上記のAPIを通じて信頼できないBrotliデータを展開するかどうかによるのであり、実行されているプラットフォームによるものではありません。

Unity エディター バージョン表

パッチ適用前のUnityエディターの指定されたバージョンでビルドされたアプリケーションは、上記の条件を満たす場合、脆弱であると見なされます。

Unity 6000.0以降のパッチリリースが進行中です。この表は、パッチバージョンがリリースされるたびに更新されます。最終更新日：2026年10月28日。

その他の Unity 製品

検索

この脆弱性はGoogleのオープンソースのBrotliライブラリにあり、公に開示されました。Unityに直接報告されたわけではありません。Unityのセキュリティチームは、反応の一環としてランタイム影響を受けるBrotliのコピーを特定しました。

修正手順

アプリケーションをリビルドする

リリース用のパッチ適用済みUnity エディターに更新（Unity エディターバージョン表を参照）、その後アプリケーションをリビルドして再デプロイしてください。デコーダーはビルドされたアプリケーション内に含まれているため、再ビルドせずにエディターを更新しても、すでに出荷されたアプリケーションは修正されません。

まだ更新できない場合

サードパーティのライブラリやプラグインを含め、プロジェクト内でBrotliStream、BrotliDecoder、またはBrotli自動解凍を使用するHttpClientの使用を確認してください。いずれも存在しない場合、あなたのアプリケーションは公開されたされていません。そうであれば、使用を削除するか、パッチが適用されたエディタバージョンでリビルドできるまで、信頼できないデータをそれに渡すのを停止してください。

Package Managerでは、更新するまでコントロールしていないスコープ付きレジストリの追加を避けてください。eMudhra証明書の問題（別途アドバイザリを参照）により、トラストレジストリがなりすまされる可能性があるため、エディタを更新することが唯一の完全な修正となります。

Unity 固定バージョン

Unity エディターの最初の固定バージョン（Unity ランタイムを含む）への直接リンク。
パッチバージョンがリリースされるたびにここにリンクが追加されます。最終更新日：2026年10月28日。