Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み(CVE-2026-111497)は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl(`--compressed` を付けた場合)にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること(10月26日の2.56.0.windows.4で修正)を確かめ、Node.jsも修正版へ入れ替えた。