お知らせ

Brotliライブラリの脆弱性（CVE-2026-111497)に関するお知らせ　

掲載日：2026年11月4日

平素より弊社製品をご利用いただき、誠にありがとうございます。
2026年10月21日に公表された、Brotliライブラリ（データの圧縮・展開を行うライブラリ）の脆弱性（CVE-2026-111497）について、SIS・GeognoSIS製品への影響を開発元に確認しました。
結果を以下のとおりご案内いたします。

影響を受ける製品

製品	影響
GeognoSIS 9.1	影響あり
GeognoSIS 9以前	影響なし（Brotliライブラリを使用していないため）
SIS Desktop	影響なし
SIS ActiveXシリーズ	影響なし

公表されている情報によると、本脆弱性は、細工された圧縮データを展開した際にメモリの範囲外への書き込みが発生するもので、悪用された場合、アプリケーションの異常終了や、任意のコードを実行されるおそれがあるとされています。

修正版について

開発元で、GeognoSIS 9.1の修正版の準備を進めております。提供時期が決まり次第、本ページにてご案内いたします。

修正版が提供されるまでの対策

GeognoSIS 9.1をご利用のお客様は、開発元が推奨する以下の対策をご検討ください。

認証方式をダイジェスト認証に変更する
GeognoSIS 管理コンソールで、各インスタンスの認証方式を「匿名アクセス」から「ダイジェスト認証」に変更してください。認証されていない第三者からの攻撃を防ぐことができます。SOAP APIをご利用のお客様には、特におすすめします。
GeognoSISへの接続元を制限する
ファイアウォールなどで、GeognoSISのサービスインスタンスのポートへの接続を、GeognoSISを利用するWebアプリケーションのサーバー（IISなど）など、必要な接続元のみに制限してください。特に、インターネットから直接GeognoSISに接続できる構成の場合は、早めの対応をおすすめします。
使用していないAPIを管理コンソールで無効にする
・ HTTP APIを使用していないインスタンスでは、HTTP APIを無効にしてください。
・ SOAP APIを使用していないインスタンスでは、SOAP APIを無効にしてください。
・ OGC API - Featuresをご利用の場合は、読み取り専用の設定にしてください。

同時期に公表されたその他の脆弱性について

2026年10月21日に公表された以下の脆弱性については、SIS・GeognoSIS製品への影響はございません。

PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）
SIS・GeognoSIS製品はPHPを使用しておりません。
Node.jsの脆弱性
GeognoSIS 管理コンソールのデスクトップ版を含め、影響がないことを開発元に確認しております。

お問合せ

本件に関するお問い合わせは、SISサポート窓口までご連絡ください。

更新履歴

2026年11月5日　初版掲載