※本記事にはアフィリエイトリンクが含まれています。
Unity Technologiesが、圧縮ライブラリBrotliの脆弱性に関するセキュリティアドバイザリを公開しました。影響を受けるのは、信頼できないBrotliデータを.NETのBrotliStreamやBrotliDecoderで解凍するアプリケーションなどです。UnityWebRequestやAssetBundleは対象外とされており、条件に該当する場合は修正版エディタでの再ビルドが必要になります。
そもそもBrotliとバッファオーバーフローとは？
Brotliは、Webやアプリで使われる圧縮ライブラリです。今回の脆弱性は、解凍処理を行うデコーダーで起きるバッファオーバーフローに関するものです。バッファオーバーフローとは、想定より大きいデータでメモリ領域をはみ出してしまう不具合で、深刻な場合はクラッシュや任意コード実行につながります。
ニュース概要
公開されたアドバイザリによると、問題の脆弱性はCVE-2026-111497で、CVSSスコアは9.2です。Unity製アプリ全体が広く影響を受けるわけではなく、攻撃者が制御できるBrotliデータを受け取り、それを特定のAPIで解凍する構成が条件になります。Unityエディタ側では、悪意のある、または偽装されたパッケージレジストリから取得する場合にUnity Package Managerのクライアントが影響を受け、WindowsとmacOSではクラッシュ、Linuxではコードが実行される可能性があると案内されています。
影響範囲と対処方法
Unityが示した影響範囲の中心は、ネットワーク応答やユーザー生成コンテンツなどに含まれる、攻撃者が制御可能なBrotliデータです。これを.NETのBrotliStreamやBrotliDecoderで解凍する、またはBrotliの自動解凍を有効にしたHttpClientで受け取る場合に注意が必要です。 一方で、UnityWebRequest、AssetBundle、フォント読み込みは今回のBrotliデコーダーを使っていないため対象外とされています。Web（WebGL）向けビルドも影響を受けません。Unity Hubについては4.xは影響を受けず、3.xには修正を含む3.22.5が配信予定です。実験的機能のAI Assistantパッケージも影響を受け、更新が準備されているとされています。 対処としては、修正版エディタが利用可能になった段階で更新し、対象プロジェクトを再ビルドする必要があります。2026年11月3日更新の公式案内では、Unity 6000.0.85f2、6000.3.27f2、6000.6.8f1などの修正版が掲載され、7000.0 alphaは準備中です。なお、Unityのアドバイザリでは6000.6.8f1が影響版の上限と修正版の両方に掲載されています。同版のリリースノートには脆弱性の修正が記載されていますが、この表記の食い違いについてはUnityの最新案内を確認してください。旧バージョンの修正も検討中とされています。修正版を利用できない場合の暫定策として、該当APIの使用有無を確認し、使っている場合は使用をやめるか、信頼できないデータを渡さない運用が推奨されています。Package Managerを守るため、アプリ側が影響を受けない場合も修正版エディタへの更新が推奨されています。更新までの間は管理していないレジストリの追加を避けますが、証明書問題による偽装もあるため、Unityは更新が完全な対策と説明しています。Unityは、Unity製アプリケーションで悪用された形跡は確認されていないと案内しています。
このニュースから考えられること
✅ メリット
- 影響条件が限定されており、すべてのUnity製アプリが直ちに対象になるわけではない
- UnityWebRequestやAssetBundleは対象外と明示されている
- Unity HubやAI Assistantなど、関連製品の対応状況も整理されている
⚠️ 課題
- 利用中の系列で修正版が提供されているか、公式アドバイザリで確認する必要がある
- BrotliStreamやBrotliDecoder、HttpClientの自動解凍を、外部ライブラリやプラグインも含めて確認する必要がある
- LinuxのUnity Package Managerクライアントではコード実行の可能性が示されており、開発環境の確認が重要
学ぶならこの講座
Unityでネットワーク処理や外部データの解凍を扱う初心者は、まず自分のプロジェクトがBrotliStream、BrotliDecoder、HttpClientの自動解凍を使っているか確認しましょう。該当する場合は、公式アドバイザリを読み、修正版エディタが出たら更新と再ビルドを行う流れを押さえるのが実践的です。
※本リンクはアフィリエイトリンクです。
まとめ
UnityがBrotli脆弱性へのセキュリティアドバイザリを公開しました。影響は特定の解凍処理に限られ、UnityWebRequestやAssetBundleは対象外です。影響を受けるアプリは修正版エディタで再ビルドし、再配布する必要があります。アプリが影響を受けない場合も、Package Managerの保護にはエディタの更新が必要です。
