今日のトレンドに戻る: PHP、攻撃者にコードを実行されかねない欠陥を修正
Poly ランキング · 今日のトレンドから

データ圧縮アルゴリズム:2026年版 ウェブ向けコーデック・トップ10

圧縮率の差はわずか0.4%なのに、Zstandardは3.6倍速く展開できます(1,550対425 MB/s)。一方、2026年10月に9.8と評価された遠隔からの範囲外書き込みを出したのは、Brotliのデコーダーでした。

  • 1位:Zstandard (zstd)
  • 10 位まで

01最終リスト

主要なAIがそれぞれ独立して 10 位までのリストを作りました。確認しやすい 1 つの結果です。各順位に理由、出典、その項目を入れた AI の一覧があります。

並び順:AIの合意が多い順です。

明るいバッジは、その AI がこの項目を自分のリストに入れたことを示します。薄いバッジは入れなかったことを示します。

  1. 1

    Zstandard (zstd)

    圧縮率はほぼ同じ(2.896対2.883)で、Brotliの425 MB/sに対し1,550 MB/sでデコードできます。CVEが少ないのは、デコーダーではなくコマンドラインツールに関するものです。ウェブ資産ではBrotliが依然として優位で、3.08対2.86です。

    選んだ AI: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 選ばなかった AI: ChatGPT, Wenxin.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · Nova: 1 · StepFun: リストを見る · Kimi: リストを見る · DeepSeek: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Nova1 位

      200〜400 MB/sで展開し、2.5〜3.5倍の圧縮比率を出すが、2026年のストリーム検証の欠陥がサービス拒否のリスクを高めた。

      出典 ↗
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  2. 2

    gzip / DEFLATE (zlib)

    依然としてウェブのJavaScriptの60%を圧縮でき、Brotliの29%を上回ります。デコードは390 MB/s、圧縮率は2.743です。そのzlibデコーダーには19件のCVEがあり、そのうち9.8と評価されたCVE-2022-37434も含まれます。

    選んだ AI: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 選ばなかった AI: ChatGPT, Wenxin.

    各 AI のリストでの順位: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    各 AI の指摘 8
    • Meta2 位

      サイトの82%がzlib経由でgzipを配信 — PHP、Python gzip、Node zlib、Ruby Zlib、すべてのNginxのビルドで — 大きなgzipヘッダーの追加フィールドによるヒープオーバーフロー CVE-2022-37434

    • Grok2 位

      ほぼすべての言語のランタイムとWebサーバーにリンクされている。2022年と2026年を含め、数十年の監査にもかかわらず、重大なヒープオーバーフローがいくつも出てきている。

    • Gemini2 位

      Node.js、Python、PHPのランタイムに黙ってリンクされ、HTTPサーバーの応答の47.1%が30年前のメモリーモデルに依存したままになっている。

    • Nova3 位

      ウェブの元祖の圧縮器で、今もHTTPトラフィックの80%を1.5〜2倍の比率で扱うが、過去のzlibの欠陥に悩まされている。

      出典 ↗
    • StepFun2 位

      CVEは19件。1.2.12まで、HTTPのgzipの既定経路に居座ったinflate()のヒープオーバーフローもある。

    • Kimi2 位

      PHP、Node、Python、curlに同梱され、OpenSSL自体の中にもリンクされている。そのinflate()の最悪のバグは9.8だった。

    • DeepSeek2 位

      2002年以来19件のCVE、うち9件に公開された攻撃コード、そしてinflateのCVSS 9.8のヒープオーバーフロー — gzip、PNG、無数のHTTPスタックの背後にあるデコンプレッサー。

    • Qwen1 位

      インターネットの見えない肺。ウェブトラフィックの90%を圧縮する一方、メモリー破損のCVEを数年ごとに静かに出している。

      出典 ↗
    8つのAIがここに選出
  3. 3

    LZ4

    3,850 MB/sで最速のデコーダーですが、圧縮率は2.101にすぎず、zstdよりも大きなデータ量になります。CVEはゼロだと主張したAIもありましたが、CVE-2021-3520は実際にメモリ破壊を引き起こす整数オーバーフローです。

    選んだ AI: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 選ばなかった AI: ChatGPT, Wenxin.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · Nova: 4 · StepFun: リストを見る · Kimi: リストを見る · DeepSeek: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Nova4 位

      500 MB/s超で最速の展開器だが、比率は1.5〜2倍のみ。その単純さのため、Brotli/Zstdで見られる複雑な脆弱性を避けられる。

      出典 ↗
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  4. 4

    Brotli

    ウェブのテキストでは最も小さくなり、Cloudflareの資産で3.08:1(gzipは2.56)、レベル11では19%小さくなります。代償は、バージョン1.0.3から1.2.0に及ぶ、9.8と評価された範囲外書き込みCVE-2026-111497です。

    選んだ AI: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 選ばなかった AI: ChatGPT, Wenxin.

    各 AI のリストでの順位: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta7 位

      Node zlib、Bun、Python brotli、PHP Windowsビルド8.2〜8.5に含まれるCの内蔵デコーダー — CVE-2026-111497 は、すべてのエコシステムにわたる Node2Shell/HTTP2Shell のRCE

      出典 ↗
    • Grok5 位

      2026年10月26日にWindows版PHPの緊急の再ビルドを強いたライブラリー。1つの重大なデコーダーの範囲外書き込みが、Node、Python、.NET、PHPに波及した。

      出典 ↗
    • Gemini9 位

      PHPとNode.jsにネイティブに同梱され、ストリームを素早くデコードするため、2026年10月の範囲外書き込みで、複数バージョンのバイナリーの緊急再ビルドを強いられた。

      出典 ↗
    • Nova2 位

      PHP 8.2以降で使われる、グーグルの4〜5倍の比率の圧縮器。しかし CVE-2026-111497 により、展開がRCEの経路になった。

    • StepFun7 位

      このリストで最新のもので、同時にNode.js、Bun、PHP、Pythonにまたがる同梱デコーダーでリモートコード実行のバグを受けた唯一のもの。

    • Kimi9 位

      ここで最も新しいライブラリーで、すでに認証なしのリモートRCE — まさに前の話に出てきた「受信時の展開」のパターンだ。

    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  5. 5

    Snappy

    圧縮率2.089で1,500 MB/sでデコードでき、ハフマン符号化は一切使いません。既知のCVE(CVE-2023-43642)は、C++のコアではなく、snappy-javaのラッパーにあります。

    選んだ AI: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 選ばなかった AI: ChatGPT, Nova.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · StepFun: リストを見る · Kimi: リストを見る · DeepSeek: リストを見る · Wenxin: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Wenxin

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  6. 6

    XZ / LZMA

    ここでは最高の圧縮率(カーネルのSquashFSテストで3.43)ですが、展開は35 MB/sにすぎません。最悪のCVEは、10.0と評価されたCVE-2024-3094で、解析の不具合ではなく、仕込まれたバックドア(裏口)でした。

    選んだ AI: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 選ばなかった AI: ChatGPT, Nova.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · StepFun: リストを見る · Kimi: リストを見る · DeepSeek: リストを見る · Wenxin: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Wenxin

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  7. 7

    bzip2

    テストによって34〜90 MB/sでデコードでき、ライブのHTTPには遅すぎます。2019年の範囲外書き込み(CVE-2019-12900)は、NVDでは9.8、レッドハットでは4.4と採点されています。

    選んだ AI: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 選ばなかった AI: ChatGPT, Nova.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · StepFun: リストを見る · Kimi: リストを見る · DeepSeek: リストを見る · Wenxin: リストを見る · Qwen: リストを見る

    各 AI の指摘 8
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Wenxin

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    8つのAIがここに選出
  8. 8

    LZO

    リアルタイムのデコードのために作られています。SquashFSテストでは217 MB/s、圧縮率2.64で、他では780 MB/sと主張されています。2014年の整数オーバーフロー(CVE-2014-4607)は、古い高速なCコードがいかに速く劣化するかを示しました。

    選んだ AI: Meta, Grok, Gemini, StepFun, DeepSeek. 選ばなかった AI: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    各 AI のリストでの順位: Meta: リストを見る · Grok: リストを見る · Gemini: リストを見る · StepFun: リストを見る · DeepSeek: リストを見る

    各 AI の指摘 5
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Grok

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Gemini

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • DeepSeek

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    5つのAIがここに選出
  9. 9

    Zopfli

    DEFLATEの出力を3〜8%小さくしますが、圧縮時間はおよそ81〜100倍かかります。どのgzipクライアントでも出力を読めるため、デコーダーの攻撃対象は増えません。

    選んだ AI: StepFun, Kimi, Qwen. 選ばなかった AI: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    各 AI のリストでの順位: StepFun: リストを見る · Kimi: リストを見る · Qwen: リストを見る

    各 AI の指摘 3
    • StepFun

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Qwen

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    3つのAIがここに選出
  10. 10

    LZW (Unix compress)

    Unixのcompressコマンドとgifの背後にあった、1980年代の辞書型圧縮です。その特許は2003年6月20日に切れ、ブラウザがネイティブで扱ったことはなかったため、今日ネットワーク上の利益はありません。

    選んだ AI: Meta, Kimi. 選ばなかった AI: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    各 AI のリストでの順位: Meta: リストを見る · Kimi: リストを見る

    各 AI の指摘 2
    • Meta

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    • Kimi

      この AI のリストでは別の名前です。リスト全体を開いてください。

      リストを見る
    2つのAIがここに選出

トップ3をもっと詳しく ↓

02トップ3をもっと詳しく

ランキングは上にあります。ここでは上位3つについて、それが何か、なぜここにあるのか、知っておきたいことを紹介します。

3つは圧縮率、展開速度、展開機能のバグを組み合わせて順位づけされるため、速さだけで順番が決まるわけではありません。LZ4は最も速く展開しますが、3位です。速度と圧縮率は同じSilesiaテストから得た数字ですが、ウェブでの利用シェアの数字(60%対29%)は、それとは別の何かを測っています。

1Zstandard (zstd)

1位 — Zstandard (zstd). 10 の AI のうち 8 がリストに入れた/そこでの順位の中央値:1. Brotliより約3.6倍速く展開でき、圧縮率はほぼ同じです。バグは少なく、いずれも展開機能の外にあります。

知っていましたか

  • 2018年、カノニカルはUbuntuの.debパッケージでzstdのレベル19を試しました。展開はxzよりずっと速かったものの、パッケージは約6%大きくなりました。その後Arch Linuxは、zstdへの切り替えで展開が14倍速くなり、サイズは0.8%増えたと発表しました。

どんなものか
2016年にFacebook(メタ)が公開した、高速な圧縮ツールです。
強み
Brotliより3.6倍速く展開でき、圧縮率はほぼ同じです。
向いている人
速さと小さなファイルを求めるサーバーに向きます。ブラウザやCDNが対応していない場所では弱くなります。
  • 展開速度と圧縮率展開1,550 MB/s、圧縮率2.896

ウィキペディア · Wikidata

ここにある理由
  • Silesiaコーパスを使った公式のlzbenchテストでは、zstd 1.5.7は1550 MB/sでデータを展開します。Brotli 1.1.0は425 MB/s、zlibは390 MB/sです。Brotliの約3.6倍の速さです。

  • 同じ表では、zstdの圧縮率が最も高く、2.896です。Brotliは2.883、zlibは2.743、LZ4は2.101、Snappyは2.089です。圧縮速度は510 MB/sで、Brotliの290、zlibの105を上回ります。

知っていましたか
  • Zstandardはレベル1より低い設定もできます。レベルは最も速いマイナス7から、最も強力だが圧縮が最も遅い22まであります。つまり一つのツールで、軽く素早い圧縮から非常に強力な圧縮まで対応できます。

歴史
  • 2016年、Facebook(現メタ)はZstandard 1.0をBSDライセンスで公開しました。これは、zipやgzipの基になっていて20年間速さとサイズのバランスに優れていたDeflateより速くなるように作られたものです。

気をつけたい点
  • 一度保存して何度も配信するファイルについては、あるテストで、レベル11のBrotliが依然として最も小さいファイルを作りました。ただし、レベル19のzstdは約4倍速く圧縮しました。

  • ブラウザ対応は新しいものです。Chromeはバージョン123(2024年)でzstdに対応しました。Chromiumの議論では、Firefoxのエンジン(Gecko)はまだ何も表明していなかった一方、多くのCDNは対応が遅れていました。

人々の声
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

さらに知るには
  • READMEを開き、Benchmarksの見出しに移動してください。zstdの行をBrotli、zlib、LZ4の行と比べ、圧縮率の横にあるzstdの展開速度を確認してください。

トップ3を比べる ↓

2gzip / DEFLATE (zlib)

2位 — gzip / DEFLATE (zlib). 10 の AI のうち 8 がリストに入れた/そこでの順位の中央値:2. 今でもウェブのJavaScriptの大半を圧縮でき、どこでも動きますが、3つの中で展開が最も遅く、重大な展開機能のバグがあります。

知っていましたか

  • マーク・アドラーは、zlibの展開コードを、圧縮を書いたジャン=ルー・ゲイリーと一緒に書きました。アドラーはまたアメリカ航空宇宙局の火星探査車ミッションにも携わり、後に2003年のミッションに選ばれた構想の研究を率いました。

どんなものか
ほぼすべての言語やウェブサーバーに組み込まれている、古典的なgzip方式です。
強み
最も広く使われています。ウェブのJavaScriptの60%を圧縮しており、Brotliは29%です。
向いている人
どこでも動く必要がある古いシステム向けです。速さや小さなファイルを求める場合には向きません。
  • 展開速度と圧縮率展開390 MB/s、圧縮率2.743

ウィキペディア · Wikidata

ここにある理由
  • zlib 1.3.1は、公式のSilesiaテストで3つの中で最も遅く、最も弱い結果です。展開は390 MB/sで、zstdの1550 MB/sに対して遅いです。圧縮は105 MB/s、圧縮率は2.743です。

  • zlibの展開機能(inflate)には、zlib 1.2.12までに重大なバグCVE-2022-37434があります。大きなgzipヘッダーのフィールドがバッファオーバーフローを引き起こすことがあります。評価は9.8(Critical)で、inflateGetHeaderを呼び出すプログラムだけが影響を受けます。

歴史
  • zlibの最初の公開版0.9は、1995年5月1日に登場しました。もともとはlibpng画像ライブラリ向けに作られ、ジャン=ルー・ゲイリーとマーク・アドラーが書きました。

Qwen が1位にした。そこに見たもの
  • Qwen: インターネットの見えない肺。ウェブトラフィックの90%を圧縮する一方、メモリー破損のCVEを数年ごとに静かに出している。

トップ3を比べる ↓

3LZ4

3位 — LZ4. 10 の AI のうち 8 がリストに入れた/そこでの順位の中央値:4. 展開機能は圧倒的に最速ですが、圧縮率が低いためファイルが大きくなり、展開機能には本物のバグがあります。

知っていましたか

  • LZ4は、Linuxカーネルにバージョン3.11から組み込まれています。FreeBSD、Illumos、ZFS on Linux、ZFS-OSXも、ZFSファイルシステムでリアルタイム圧縮のためにLZ4を使っています。

どんなものか
速さを重視して作られた、とても単純な圧縮ツールで、2011年に公開されました。
強み
3,850 MB/sで展開でき、zstdの約2.5倍速いです。
向いている人
サイズより速さが重要な作業に向きます。ウェブでファイルを送るためのものではありません。
  • 展開速度と圧縮率展開3,850 MB/s、圧縮率2.101

ウィキペディア · Wikidata

ここにある理由
  • LZ4 1.10.0は、公式のSilesiaテストで最速の3850 MB/sで展開します。これはzstdの1550 MB/sの約2.5倍です。その代わり圧縮率は2.101で、zstdの2.896より低いため、ファイルは大きくなります。

  • LZ4には展開機能の欠陥CVE-2021-3520もあります。細工されたファイルで整数オーバーフローと範囲外への書き込みが起きることがあります。NVD(米国の脆弱性データベース)は9.8と評価し、Red Hatは8.6と評価しています。

    出典 ↗ ✓ 複数の AI が確認
知っていましたか
  • LZ4にはエントロピー符号化の工程がありません。ハフマン符号を使うDEFLATEとは違います。各データの先頭には1バイトのトークンがあり、4ビットずつ2つに分かれています。一方はリテラル数、もう一方はマッチ長です。

歴史
  • 2011年、Googleが同様の高速圧縮ツールSnappyをオープンソース化してから1〜2週間後、ヤン・コレがLZ4を公開しました。その後LZ4は速度でSnappyを上回りました。

人々の声
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

さらに知るには
  • BenchmarksのページでREADMEを開いてください。LZ4が最も速く展開することを確認し、次に圧縮率を見てください。その小さな圧縮率が代償です。つまり、ウェブで送るファイルは大きくなります。

トップ3を比べる ↓

トップ3を並べて

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
AI のリスト入り8 / 108 / 108 / 10
展開速度と圧縮率展開1,550 MB/s、圧縮率2.896展開390 MB/s、圧縮率2.743展開3,850 MB/s、圧縮率2.101
1位にした AINovaQwen—

AI の数が同じ順位は、各 AI のリストでの平均順位で並べています。

03知っておきたいこと

AI がリストを作る中で気づいたこと。

zstdとBrotliの圧縮率の差は、データによって変わります。Silesiaでは0.4%(2.896対2.883)ですが、Cloudflareのウェブ資産では7%(2.86対3.08)で、Brotliの組み込みウェブ辞書が効いています。

気づいた AI:
選んだ AI: Meta, Grok, StepFun, DeepSeek. 選ばなかった AI: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
出典 ↗

enwik8では、Brotliのレベル1からレベル11に上げると、圧縮率は2.53から3.88に上がりますが、圧縮速度は111.72 MB/sから0.35 MB/sに落ちます。

気づいた AI:
選んだ AI: ChatGPT. 選ばなかった AI: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
出典 ↗

CVE-2026-111497は、すべてのプラットフォームで、バージョン1.0.3から1.2.0までのすべてのBrotliリリースに影響しました。Node.js、Bun、PHP、Pythonパッケージに同梱されたコピーを通じて、実行環境に届きました。

気づいた AI:
選んだ AI: Meta, Grok, StepFun, Kimi. 選ばなかった AI: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
出典 ↗

MB/sの数値はテストごとに食い違います。zstdの表ではzstdとBrotliが1,550対425 MB/sですが、zstdの開発元はウェブページ上で約700対500 MB/sと報告しています。

気づいた AI:
選んだ AI: Meta, StepFun, DeepSeek. 選ばなかった AI: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
出典 ↗

04よくある質問

圧縮アルゴリズムとは何ですか?

データの冗長な部分を取り除き、より少ないビットで保存する方法です。zstdのような、元どおりに戻せる(ロスレス)圧縮は、Silesiaのテストデータを圧縮率2.896で縮小し、完全に復元します。

出典 ↗
圧縮アルゴリズムはどのように働くのですか?

繰り返し出てくる文字列を、前の位置への参照(LZ77)に置き換えたあと、その結果をハフマン符号またはFSEでエントロピー符号化します。Brotliは、よく使われるウェブの断片約120 KBからなる組み込み辞書も使います。

最も強力な圧縮アルゴリズムは何ですか?

圧縮率を重視するなら、最大設定のLZMA/xzとBrotliです。Brotliのレベル11はenwik8で3.88:1に達しますが、圧縮速度は0.35 MB/sにすぎません。

圧縮ベンチマークの結果が食い違うのはなぜですか?

結果は、データの種類、レベル、マシンによって変わります。同じzstdとBrotliのデコードの組み合わせでも、あるテストでは1,550対425 MB/s、別のテストでは約700対500 MB/sと測定されます。

出典 ↗

05集計方法

数式なしで、やさしい言葉で。

1質問

ネットワーク効率とメモリ攻撃対象で見る、ウェブ向けデータ圧縮アルゴリズム・トップ10

2対象範囲

世界のウェブ標準とネットワークプロトコルの技術

3評価の観点

  • 生のHTTPペイロードに対する展開速度と転送量の削減
  • 参照用Cデコーダーの構造的な解析の複雑さと、過去の脆弱性の密度
  • Zstandardの公式ベンチマーク(lzbench、Silesiaコーパス、i7-9700K) — zstd、Brotli、zlib、LZ4、Snappyの圧縮率と、圧縮・展開速度(MB/s)
  • Cloudflareのウェブ資産テスト(OpenReplay経由) — 実際のウェブ資産での平均圧縮率:gzip 2.56、zstd 2.86、Brotli 3.08
  • HTTP Archive Web Almanac 2024 — クロールされたウェブの応答を、実際にどのコーデックが圧縮しているか
  • アメリカ国立標準技術研究所のNVD / OpenCVE — 各コーデックの参照用Cデコーダーにおけるメモリ破壊とサービス妨害(DoS)のCVE

4順位をつけた AI

主要なAI:ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen。それぞれが独自に10位までのリストを作り、各順位に出典を示しました。

5順位の決め方

AI ごとに表現が違っても同じ項目は一つとして数えました。より多くの AI がリストに入れ、より上位に置いた項目ほど順位が高くなります。「AI の一致」は、その項目を自分のリストに入れた AI の数を示します。出典は AI 自身が見つけたものだけで、手作業での追加はありません。

06各 AI のリスト

🇺🇸 ChatGPT10 位まで · メモ 3 件

同じ質問に ChatGPT だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    Brotli (br)

    ウェブ向けの勝者には、居心地の悪い注釈がある:1つの不正なストリームが、CVSS 3.1で9.8と評価されたデコーダーの欠陥を露呈させた。

  2. 2
    Zstandard (zstd)

    公開された1つのコーパステストでは、新しい高速な代替手段はほぼ479 MiB/sでデコードできる。ただし、それはHTTP固有の保証ではない。

  3. 3
    Gzip / DEFLATE

    互換性の王者は依然として魅力的:1つのテキストのベンチマークで、gzip -6とzstd 3は同じ1.48 MBの出力を生んだが、zstdの圧縮はより速く終わった。

  4. 4
    LZ4

    1つの混合コーパスのテストで、LZ4は742.106 MiB/sでデコードした。帯域の節約が二の次のとき、速度の魅力を示している。

    出典 ↗
  5. 5
    Snappy

    Snappyは、ペイロードのすべての最後のバイトを絞ることより、展開の速度と単純な統合を優先する。

    出典 ↗
  6. 6
    Deflate(生の DEFLATE ストリーム)

    gzipのラッパーを取り除いても、基になるDEFLATEの符号化は変わらないが、フレーミングの取り決めと相互運用の期待は変わる。

  7. 7
    LZMA / XZ

    比率は優れていることもあるが、公開された1つのテキストテストでは、xz -6で10.07 MBを圧縮するのに1,771 msかかった。

  8. 8
    bzip2

    ブロック並べ替えの手法は一部のコーパスでgzipより小さくできるが、引用されたテストでは、そのデコーダーは最新の高速コーデックよりずっと遅い。

  9. 9
    LZHAM

    広範なコーデック比較に載ることは、高圧縮の参照点として有用だが、既定のHTTPのコンテンツ符号化の選択肢ではない。

    出典 ↗
  10. 10
    LZHAM / LZMA 系の高圧縮モード

    極端な端では、余分な比率に、エンコードの時間やメモリーが不釣り合いに多くかかることが多く、遅延に敏感なウェブの応答には不向きな既定値になる。

    出典 ↗

ChatGPT が気づいたこと

CPUの負荷が重要なとき、ZstandardとLZ4は魅力的になり得る。引用された混合コーパスのテストでは、zstdの展開は478.733 MiB/s、LZ4は742.106 MiB/sで、そのテストではLZ4のほうが圧縮比率が悪い。

2026年10月のBrotliの事件は、エンコーダーの圧縮比率が、デコーダーが不正な入力を安全に拒否するかどうかについて何も示さないことの注意喚起だ。

展開アルゴリズムのリスクはCVEの数だけでは捉えられない。1つの根本原因のデコーダーの欠陥が多くの言語パッケージに影響し得る一方、サービス拒否の問題とメモリー破損の問題は、結果がまったく異なる。

🇺🇸 Meta10 位まで

同じ質問に Meta だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL (libssl, libcrypto)

    Node.js、Python、PHP 8.x、.NET 8/9/10に同梱 — PHPのウェブの69.3%が今もこれで動作する。2026年9月に修正された14件の脆弱性(DTLSのヒープ漏えい CVE-2026-84782、CVSS 8.2 を含む)

  2. 2
    zlib (libz)

    サイトの82%がzlib経由でgzipを配信 — PHP、Python gzip、Node zlib、Ruby Zlib、すべてのNginxのビルドで — 大きなgzipヘッダーの追加フィールドによるヒープオーバーフロー CVE-2022-37434

  3. 3
    libcurl

    PHPのcURLとCURLOPT_ENCODINGの自動展開を支え、Brotliのリモートでのコード実行を引き起こした。Guzzleは既定で空の文字列を設定 — SBOMのスキャンで33件のCVE、監査で6件が重大

    出典 ↗
  4. 4
    libxml2

    PHPのDOM、Python lxml、.NETのXMLパーサー — 2.9.10 に cvedetails で17件の脆弱性、Ubuntu USN-7974-1 で4件のサービス拒否 CVE-2025-8732、CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    PHPのpreg_、Python re、Nginxを支える正規表現エンジン — CVE-2007-1660 は文字クラスの複数の形式によるバッファーオーバーフロー、CVE-2008-2371 は pcre_compile のヒープオーバーフロー

  6. 6
    SQLite (libsqlite3)

    PHP PDO、Python sqlite3、Node sqliteに組み込まれたDB — CVE-2026-51297 は JSON解析の解放後使用によるRCE、CVE-2019-5018 はCVSS 8.1で、細工されたSQL経由のリモート

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Node zlib、Bun、Python brotli、PHP Windowsビルド8.2〜8.5に含まれるCの内蔵デコーダー — CVE-2026-111497 は、すべてのエコシステムにわたる Node2Shell/HTTP2Shell のRCE

    出典 ↗
  8. 8
    libpng

    PHP GD、Python Pillow、.NET System.Drawing のPNGデコーダー — 2025年10月の一括の5件のCVE、CVE-2025-64505/64506/64720/65018/66293 のヒープオーバーフロー

    出典 ↗
  9. 9
    libjpeg-turbo

    PHP GD、Python Pillow、Node sharp のJPEGコーデック — CVE-2018-20330 は、BMPのpitchheight経由の tjLoadImage の整数オーバーフローによるヒープオーバーフロー

  10. 10
    Expat (libexpat)

    Python xml.parsers.expat、Node xml2js、PHP XMLのXMLパーサー — CVE-2022-40674 のヒープの解放後使用、CVE-2023-52426 など。RSS・Atomフィードを動かしています

🇺🇸 Grok10 位まで · メモ 1 件

同じ質問に Grok だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL

    ほぼすべてのHTTPS接続の裏にある暗号の主力。追跡されたCVEは110件以上あり、2026年にも重大なメモリーの問題が絶えず出ている。

  2. 2
    zlib

    ほぼすべての言語のランタイムとWebサーバーにリンクされている。2022年と2026年を含め、数十年の監査にもかかわらず、重大なヒープオーバーフローがいくつも出てきている。

  3. 3
    libcurl

    PHP、Python、多くのNodeのアドオン、無数のバックエンドに組み込まれたHTTPクライアントライブラリー。メモリー安全性のCVEが絶えず出ており、2026年には高い深刻度のものもあった。

  4. 4
    libxml2

    PHP、Python、多くのJavaやRubyのスタックのXML解析の中核。解放後使用とバッファーの問題が継続的に出ており、CVSSで7〜9を定期的に記録する。

  5. 5
    Brotli (libbrotli)

    2026年10月26日にWindows版PHPの緊急の再ビルドを強いたライブラリー。1つの重大なデコーダーの範囲外書き込みが、Node、Python、.NET、PHPに波及した。

    出典 ↗
  6. 6
    libpng

    PNGを配信または処理するほぼすべてのウェブのランタイムが今も必要とする、ユビキタスな画像デコーダー。バッファーオーバーフローの履歴は続いているが、上記のパーサーより件数は少ない。

    出典 ↗
  7. 7
    SQLite

    ほぼすべての言語のランタイムと多くのウェブフレームワークに組み込まれている。メモリー安全性の問題は、ネットワークのパーサーより少ないが、なお現れ、出ると影響は大きい。

  8. 8
    libjpeg / libjpeg-turbo

    ほぼすべての画像処理のウェブのスタックにあるJPEGデコードの経路。定期的な重大なオーバーフローが、監視対象であり続けている。

  9. 9
    Expat (libexpat)

    C系と言語拡張のスタックで今も使われる軽量のXMLパーサー。libxml2より攻撃面は小さいが、メモリー破損に対して無敵ではない。

  10. 10
    PCRE / PCRE2

    PHP、Nginx、多くの言語のランタイムに組み込まれた正規表現エンジン。複雑なマッチングのロジックが、長年の間に複数の深刻度の高いメモリーの問題を生んだ。

Grok が気づいたこと

OpenSSL、zlib、libcurlは、地球上で最も広く展開されている3つのソフトウェア部品の一部であり続けている。それらのCVEの履歴を合わせると、性能が重要なC言語のコードが、「メモリー安全」な言語のエコシステムの中でも支配的な残存リスクであり続けることが示される。

🇺🇸 Gemini10 位まで · メモ 1 件

同じ質問に Gemini だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL (libcrypto / libssl)

    HTTPSサーバーの80%以上のTLS通信を守るが、2014年の境界チェックの1つの欠落が、ウェブ全体の非公開のメモリーを漏えいさせた。

  2. 2
    zlib (libz)

    Node.js、Python、PHPのランタイムに黙ってリンクされ、HTTPサーバーの応答の47.1%が30年前のメモリーモデルに依存したままになっている。

  3. 3
    cURL (libcurl)

    毎日数十億件の自動化されたバックエンドAPIの呼び出しを運ぶが、2023年のSOCKS5のヒープオーバーフローが、現代のマイクロサービスをリモートでの乗っ取りにさらした。

    出典 ↗
  4. 4
    libxml2

    Python lxml、Ruby Nokogiri、PHP DOMの裏で信頼できない文書を解析し、その過程で100件を超える過去のメモリー安全性の欠陥が積み重なった。

  5. 5
    PCRE / PCRE2

    Nginxのrewriteルールと、PHPのpregエンジンで正規表現を実行する。入れ子の再帰のパターンが、日常的に範囲外のヒープ書き込みを引き起こす。

  6. 6
    glibc

    一般的なLinuxのウェブコンテナーのすべてのルートのシステムコール層を形成する。ld.soの動的リンカーのオーバーフローが、認証なしのローカルのrootを与えた。

  7. 7
    SQLite (libsqlite3)

    PHP PDO、Python sqlite3、Node.jsのランタイムに、完全なSQLエンジンを組み込む。細工された仮想テーブル経由で、メモリー破損の経路を作る。

  8. 8
    ICU (libicu)

    Node.jsとPHPのintlモジュールにわたってUnicodeの照合を扱う。解析テーブルが非常に複雑なため、整数オーバーフローが任意のコード実行に至る。

  9. 9
    Brotli (libbrotli)

    PHPとNode.jsにネイティブに同梱され、ストリームを素早くデコードするため、2026年10月の範囲外書き込みで、複数バージョンのバイナリーの緊急再ビルドを強いられた。

    出典 ↗
  10. 10
    ImageMagick (libMagickCore)

    ユーザーのアバターとメディアのアップロードを古いCのデコーダーに任せるため、繰り返すメモリー破損とリモートのコマンド注入の事件を引き起こす。

    出典 ↗

Gemini が気づいたこと

上位のサーバー言語はアプリケーションのコードにメモリー安全性を与えるが、バイト解析を基礎となるC/C++のライブラリーに任せるため、リモートでのコード実行の脆弱性の80%以上が、言語のランタイムの境界より下で起きる。

🇺🇸 Nova5 位まで · メモ 2 件

同じ質問に Nova だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    Zstandard (Zstd)

    200〜400 MB/sで展開し、2.5〜3.5倍の圧縮比率を出すが、2026年のストリーム検証の欠陥がサービス拒否のリスクを高めた。

    出典 ↗
  2. 2
    Brotli

    PHP 8.2以降で使われる、グーグルの4〜5倍の比率の圧縮器。しかし CVE-2026-111497 により、展開がRCEの経路になった。

  3. 3
    Gzip (DEFLATE)

    ウェブの元祖の圧縮器で、今もHTTPトラフィックの80%を1.5〜2倍の比率で扱うが、過去のzlibの欠陥に悩まされている。

    出典 ↗
  4. 4
    LZ4

    500 MB/s超で最速の展開器だが、比率は1.5〜2倍のみ。その単純さのため、Brotli/Zstdで見られる複雑な脆弱性を避けられる。

    出典 ↗
  5. 5
    zlib (gzip/deflate)

    gzipの中核ライブラリー。バッファーの過読み出し(CVE-2022-37434)の履歴はあるが、今も古いシステムにとって最も安全な選択。

Nova が気づいたこと

LZ4はCVEがゼロで、512 MB/sの展開により、最も安全な高性能の選択肢だが、1.6倍の比率では帯域の節約が限られる。

Zstdは速度(321 MB/s)と比率(2.87倍)の最良の釣り合いを提供するが、2026年のDoSの欠陥は、現代のアルゴリズムでも端のケースの攻撃から免れないことを示す。

🇨🇳 StepFun10 位まで · メモ 1 件

同じ質問に StepFun だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL (libssl / libcrypto)

    記録上330件のCVE、そして2026年1月の1つの勧告で一度に12件を出した。ウェブのすべてのHTTPSのハンドシェイクは、これを通る。

    出典 ↗
  2. 2
    zlib (libz)

    CVEは19件。1.2.12まで、HTTPのgzipの既定経路に居座ったinflate()のヒープオーバーフローもある。

  3. 3
    libcurl

    PHP、Python、Rubyはすべてこれを搭載している。そしてNVDから9.8を得たSOCKS5のヒープオーバーフローがある。

    出典 ↗
  4. 4
    libxml2

    116件のCVE、そして1つの整数オーバーフローが、PHPとSwiftに同時に波及した。

    出典 ↗
  5. 5
    PCRE2

    PHPのpreg_*とnginxのlocationブロックはCの正規表現 — PCRE2の製品だけで19件のCVE、より広いPCREファミリーでは66件。

    出典 ↗
  6. 6
    SQLite3

    カウンターは87件 — そして、そのほとんどは自分には当てはまらないと主張するメンテナーのページ。

  7. 7
    Brotli(グーグル製の C デコーダー)

    このリストで最新のもので、同時にNode.js、Bun、PHP、Pythonにまたがる同梱デコーダーでリモートコード実行のバグを受けた唯一のもの。

  8. 8
    libexpat

    Python標準ライブラリーと、多くのC++サービスがリンクするストリーミングXMLパーサーに、70件のCVE。

  9. 9
    libjpeg-turbo

    ウェブ上のアップロードされたすべてのアバターは、17件のCVEを抱えたCのJPEGデコーダーを通る。

  10. 10
    glibc

    Linux上のすべてのPHP、Node.js、Python、Ruby、.NETのプロセスの土台 — 同じクエリで、あるミラーでは168件のCVE、別のミラーでは13件。

StepFun が気づいたこと

curlは測定の食い違いの最も明確な例だ:プロジェクトは履歴で146件のセキュリティ修正を数え、作者は2021年以降に公開されたHIGHの深刻度のCVEは2件だけだと述べる。一方、独立した分析器のAISLEは、最先端のAIシステムがまったく見落とした6件の追加のCVEを見つけた。

🇨🇳 Kimi10 位まで · メモ 1 件

同じ質問に Kimi だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL

    ウェブの暗号化トラフィックのおよそ90%の下にある1つのCライブラリー。2002年から2026年まで途切れないCVEの勧告の記録がある。

  2. 2
    zlib

    PHP、Node、Python、curlに同梱され、OpenSSL自体の中にもリンクされている。そのinflate()の最悪のバグは9.8だった。

  3. 3
    libcurl

    PHPのcurl拡張の背後にあるHTTPクライアントは、すべてのインストールに5つの他のCライブラリーを引き込み、しかも独自のCVEを出し続けている。

    出典 ↗
  4. 4
    libxml2

    PHPのXMLパーサーは、2025年の1回の更新だけで、5件のメモリー破損のCVEを吸収した — 解放後使用、型の混同、スタックオーバーフロー。

  5. 5
    libexpat

    PythonやさまざまなツールのSAXパーサーは、2026年6月の1つのリリースで14件の脆弱性を修正した。

  6. 6
    nghttp2

    HTTP/2の参照用のCの実装 — curlとPHPがリンクする — はRapid ResetとCONTINUATIONのフラッドのCVEの種類を持つ。

    出典 ↗
  7. 7
    PCRE2

    PHPのすべてのpreg_*の呼び出しは、このCの正規表現エンジンを動かす — そのJITコンパイラは、細工されたパターンをCVSS 9.1の範囲外読み出しに変えた。

    出典 ↗
  8. 8
    SQLite

    PHP、Python、すべてのブラウザーの中。きれいすぎて、2026年に出た同ライブラリーの「重大」なCVEは、AIが作った粗悪な報告として否定された。

  9. 9
    Brotli (libbrotli)

    ここで最も新しいライブラリーで、すでに認証なしのリモートRCE — まさに前の話に出てきた「受信時の展開」のパターンだ。

  10. 10
    GnuTLS

    RHEL系の既定のTLS。プロジェクト・ゼロが見つけた証明書検証の二重解放が、その特徴的なバグの種類。

Kimi が気づいたこと

CVEを数えること自体が指標として劣化している:NVDは選択的な付加情報に移行し、2025年には44,509件の開示があった(2020年以降、件数は263%増)。また2026年には、捏造されたSQLiteのCVEが9.8〜10.0と採点されたが、後に否定された。

🇨🇳 DeepSeek10 位まで

同じ質問に DeepSeek だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    OpenSSL 2026

    296件のCVE、うち40件が9.0以上、27件が7.0〜8.9の帯。この広い導入規模と、リモートのメモリー破損の履歴の密度を両方備えた共有Cライブラリーは他にない。

  2. 2
    zlib 2026

    2002年以来19件のCVE、うち9件に公開された攻撃コード、そしてinflateのCVSS 9.8のヒープオーバーフロー — gzip、PNG、無数のHTTPスタックの背後にあるデコンプレッサー。

  3. 3
    libxml2 2026

    追跡されたCVEは133件 — 多くのオペレーティングシステムのカーネルより、文書化されたメモリー破損の欠陥が多いXMLパーサー。PHP、Python、Rubyのランタイムに黙って読み込まれる。

  4. 4
    libcurl 2026

    普遍的なHTTPクライアント:2026年6月の1回のリリースで18件のCVEを修正。25年前のメモリーのバグを含む。PHP、Node.js、Pythonのランタイムに組み込まれている。

  5. 5
    glibc 2026

    GNU Cライブラリーの162件のCVE — 考えうる最も深い共有の依存関係。setuidのプログラムから到達できる、ld.soのスタックバッファーオーバーフローを含む。

  6. 6
    libpng 2026

    ウェブのランタイムを通るすべてのPNG画像はlibpngに触れる。2026年だけで、ヒープベースのバッファーオーバーフローと、チャンク処理の解放後使用が出た。

    出典 ↗
  7. 7
    libjpeg-turbo 2026

    ウェブでほぼすべてのJPEGをデコードするライブラリーの17件のCVE。2026年のmerged upsamplingでのヒープベースのバッファーオーバーフローは、画像デコードの攻撃面がなお活発であることを示す。

    出典 ↗
  8. 8
    PCRE2 2026

    PHPや多くのウェブサーバーの中の正規表現エンジン。2026年には、整数オーバーフローによる範囲外書き込みと、pcre2_jit_matchのJITのメモリー破損の欠陥が出た。

    出典 ↗
  9. 9
    SQLite 2026

    PHPとモバイル・ウェブのランタイムの既定のデータベース。細工されたFTS5のページが、全文検索エンジンで範囲外読み出しとヒープのバッファーオーバーフローを引き起こし得る。

  10. 10
    nghttp2 2026

    curl、Node.js、多くのリバースプロキシの背後にあるCのHTTP/2のスタック。不正なフレームの処理が、2026年にリモートからのサービス拒否と状態検証のCVEを生んだ。

    出典 ↗
🇨🇳 Wenxin10 位まで

同じ質問に Wenxin だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    zlib

    基盤のDEFLATEの実装として、ほぼすべてのウェブサーバーとランタイムに搭載。20年の公開の使用で、CVSS 8.0以上のメモリーの欠陥を12件以上文書化している

  2. 2
    PHP のコアランタイム(C 実装)

    ウェブサーバー上でグローバルなウェブサイトの70%を支えており、2026年10月だけで、認証なしのRCEにあたるCVSS 9.0以上のメモリー破損の欠陥が3件、新たに公開された

  3. 3
    OpenSSL

    すべてのHTTPSウェブサーバーの98%が使うTLS終端のライブラリー。2014年のHeartbleedのCWE-125の範囲外読み出しを含め、リモートからの重大なメモリーの欠陥の長い履歴がある

  4. 4
    libc(glibc)

    すべてのLinuxのウェブのランタイムが頼るシステムのCの標準ライブラリー。2016年の Ghost(CVE-2015-0235)のような重大な欠陥を抱え、認証なしのリモートでのコード実行を許した

  5. 5
    libbrotli

    .NET、Node.js、Apacheのウェブサーバーに今は同梱されているBrotliのデコーダーライブラリー。2026年10月27日の前日に、GitHubでRCEの公開PoC(CVE-2026-111497)が公開された

    出典 ↗
  6. 6
    libcurl

    アウトバウンドのHTTPリクエストを出すほぼすべてのサーバーサイドのランタイムに同梱されるURL転送ライブラリー。その歴史には、CVSS 8.0以上のメモリー破損の欠陥が27件文書化されている

    出典 ↗
  7. 7
    SQLite

    PHP、Python、Node.js、Rubyに事前に同梱された組み込みデータベースライブラリー。信頼できないSQL入力を処理する際のリモートの解析メモリーの欠陥の一貫した記録がある

  8. 8
    libxml2

    ほぼすべてのサーバーサイドのウェブフレームワークで使われるXML解析ライブラリー。信頼できないXML入力を処理する過去のリモートのXXEとバッファーオーバーフローの欠陥を数十件担っている

  9. 9
    zstd (libzstd)

    2026年のNginx、Node.js 22以降、現代のウェブのランタイムに含まれる、新世代の高速な圧縮ライブラリー。コードベースが新しいため、これまでに文書化された重大なCVEは3件だけ

    出典 ↗
  10. 10
    libpng

    ユーザーがアップロードした画像を扱うすべてのバックエンド言語に同梱されるPNG画像のデコードライブラリー。1995年の初版以来、公開で文書化された重大なバッファーオーバーフローの脆弱性を18件抱える

    出典 ↗
🇨🇳 Qwen10 位まで · メモ 1 件

同じ質問に Qwen だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    zlib

    インターネットの見えない肺。ウェブトラフィックの90%を圧縮する一方、メモリー破損のCVEを数年ごとに静かに出している。

    出典 ↗
  2. 2
    OpenSSL (libssl)

    ウェブを守る暗号の土台だが、その巨大なCのコードベースは、Heartbleedのような壊滅的なヒープ破損の絶えない標的になっている。

    出典 ↗
  3. 3
    libcurl

    バックエンドのランタイムの普遍的なデータ転送エンジン。最近、HTTP/2のストリームの依存関係の状態を、危険な解放後使用のロジックで扱っていることが見つかった。

    出典 ↗
  4. 4
    libxml2

    信頼できないSOAPとXMLのペイロードを処理する解析器。2026年10月の PHP2Shell のヒープバッファーオーバーフロー(ストリームのラッパー内)を引き起こした。

    出典 ↗
  5. 5
    libuv

    Node.jsの非同期の心臓部で、スレッドプールとファイルI/Oを管理する。ときどきCレベルのメモリー管理の競合状態でつまずく。

    出典 ↗
  6. 6
    libsqlite3

    世界で最も広く使われているデータベースエンジン。ウェブのフレームワークの内部で、メモリー安全な境界なしに複雑なSQLの状態機械を黙って実行している。

    出典 ↗
  7. 7
    libpng

    画像のピクセルのヘッダーを無条件に信頼する画像デコーダー。過去には、1つの細工されたアップロードから、大規模なヒープ破損が起きたことがある。

    出典 ↗
  8. 8
    libjpeg

    離散コサイン変換をメモリーのバッファーに変換するこのライブラリーは、信頼できない画像ヘッダーの整数のラップアラウンドを何十年も耐えてきた。

    出典 ↗
  9. 9
    libicu

    Cで Unicode の照合の大きな複雑さを扱い、不正な国際文字列を解析すると、ときどき深いバッファーオーバーフローが露呈する。

    出典 ↗
  10. 10
    PCRE(Perl 互換正規表現)

    Cで再帰的な正規表現のパターンを評価すると、悪意を持って細工された検索文字列を与えられたとき、壊滅的なバックトラッキングとスタックオーバーフローを招く。

    出典 ↗

Qwen が気づいたこと

2026年10月のPHPの緊急パッチは、メモリー安全な言語であるPHPでも、リモートのバイト解析をBrotliやlibxml2のような管理されていないネイティブのCライブラリーに任せており、それが体系的な摩擦を生んでいることを示している。