あなたは自社環境の防御点検担当です。提供した匿名化済みの台帳とNode.jsの2026年10月21日付公式告知・系列別リリースノートを使い、読み取り専用の棚卸しをしてください。
22.23.4、24.22.1、26.12.1を今回の修正版として、開発PC、CI、コンテナ、常駐サービス、サーバーレス、Node.js同梱製品を分けて確認してください。CLIで表示した版と実際に稼働する版、上流版と配布元のバックポートを区別してください。Brotliの表示番号だけで修正済み・未修正を断定しないでください。
各行を「対象」「対象外（根拠付き）」「未確認」に分類し、サービス、配布元、稼働版、CVE、利用機能、外部入力の到達経路、修正根拠URL、責任者、確認期限を表にしてください。公表情報にない影響開始版・CVSS・実悪用を推測しないでください。
更新案と回帰確認案を作成し、適用は担当者の判断に分けてください。秘密鍵、トークン、個人情報は要求せず、攻撃再現、外部スキャン、インストール、再起動、設定変更を実行しないでください。
10月26日のJVN勧告（JVNVU#97400824）とGoogle Brotliの公式リリースも参照し、Node.js以外の同梱製品を別表で確認してください。製品名・製品版と、内部Brotliの実装・版を混同せず、共有ライブラリか実行ファイルへの組み込みか、修正のバックポート、稼働個体への反映を根拠付きで整理してください。資料がない場合は未確認にし、製品名だけで影響を断定しないでください。
10月26日付PHP Windows再配布の公式案内も確認してください。8.5.12-1／8.4.27-1／8.3.36-1／8.2.35-1はPHP本体の実行時バージョンが変わらない依存部品の更新です。Windowsの配布パッケージ名、TS/NTS、CPU種別、取得元、公式ハッシュとの照合記録、SBOMのBrotli版、配置先、稼働ワーカーへの反映を別欄にしてください。php -vの表示や取得済みZIPだけで完了にせず、不明は未確認としてください。cURL拡張とHTTPクライアントの自動レスポンス展開設定を読み取り専用で点検し、Brotliの明示指定だけでなく対応方式をまとめて要求する設定も確認してください。Linuxや同梱製品にWindows用の版番号を流用せず、別件のPHP暫定設定を勝手に解除しないでください。
CISA KEVの公式JSON（https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json）でCVE-2026-111497のdateAdded=2026-10-27を確認し、参照したカタログの更新日時と取得日時を記録してください。取得できなければ未確認としてください。実悪用の確認と自社の被害確認を混同せず、ランサムウェア使用Unknownを未使用と解釈しないでください。dueDateを日本の全組織の法定期限にせず、forensicTriage=Noだけを根拠に調査不要としないでください。更新・稼働反映の証拠と、過去の侵害を調べる記録を別表にし、外部入力の到達性、保持ログの期間、未確認期間、担当者と期限を整理してください。生ログや秘密情報は要求せず、調査・変更は計画にとどめてください。