2026年 ウェブ実行環境を裏で支えるCライブラリ トップ10

同じ質問に ChatGPT だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Brotli C デコーダー

   1つのデコーダーの欠陥がNode.js、Python、.NET、PHPのエコシステムに及び、引用された記録ではCVSS 3.1で9.8でした。

2. 2
   zlib と DEFLATE

   gzipの裏で働く圧縮の主力は数十年の導入実績があり、小さなデコーダーの欠陥でも多くのソフトウェア環境に広がり得ます。

   出典 ↗
3. 3
   OpenSSL の libcrypto と libssl

   共有される暗号ライブラリーでは、1つの解析やメモリー管理の欠陥が、TLSの接続先、クライアント、組み込みアプリケーションにまたがるリスクになり得ます。

   出典 ↗
4. 4
   libcurl

   ネットワークアクセスを便利にするためのライブラリーも、自動の応答展開が有効だと、それ自体が信頼できない入力の境界になり得ます。

   出典 ↗
5. 5
   libxml2

   XMLパーサーは複雑な入力の文法と、信頼できないかもしれない文書処理を組み合わせるため、アプリケーションが安全な言語で書かれていても、パーサーの強化が重要です。

6. 6
   PCRE2 正規表現ライブラリ

   一見無害なフォーム欄の裏で正規表現エンジンが動くことがあり、攻撃者が操作した文字列がネイティブの解析処理に変わります。

   出典 ↗
7. 7
   libpng

   画像の処理は、アップロードの流れ、サムネイルのサービス、コンテンツ管理システムで自動的に行われることが多く、開発者の主要なリクエスト処理のコードの外で起きます。

   出典 ↗
8. 8
   PCRE 互換の Oniguruma

   Rubyの管理されたオブジェクトモデルでも、すべてのネイティブ拡張やネイティブの正規表現の実装がメモリー安全になるわけではありません。

   出典 ↗
9. 9
   libjpeg-turbo

   画像処理サービスは、公開APIがアップロードの窓口だけでも、攻撃者が操作したバイナリーデータを受け取ることがあります。

   出典 ↗
10. 10
    libarchive

    アーカイブの展開では、攻撃者が用意した小さなバイト列が、1回の操作で多数のファイル名、メタデータ項目、展開されたバッファーに変わります。

    出典 ↗

同じ質問に Meta だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd) 1.5.7

   圧縮 510 MB/s、展開 1550 MB/s、比率 2.896 — gzipより5倍速く、比率も高く、重大なCVEの履歴はほぼゼロ

   出典 ↗
2. 2
   zlib (gzip/DEFLATE) 1.3.1

   W3Techsによれば、ウェブの82%が使用 — 展開 390 MB/s、単純なLZ77+Huffman、10年で重大なヒープオーバーフローのCVEは CVE-2022-37434 の1件のみ

3. 3
   LZ4 1.10.0

   展開 3850 MB/s — 最速のWebエッジデコーダー、比率 2.101、フレーム形式が単純で、記録上リモートから悪用可能なCVEはゼロ

   出典 ↗
4. 4
   Snappy 1.2.1

   展開 1500 MB/s — グーグルのgRPCの既定値。生のリテラルではHuffmanを省き、比率 2.089 と引き換えに状態機械を最小限に

   出典 ↗
5. 5
   LZO1X 2.10

   展開 780 MB/s、比率 2.106 — 1996年代の超低メモリーのデコーダーで、今もLinuxのinitramfsに残る。整数オーバーフローの攻撃面はごく小さい

6. 6
   Deflate（RFC1951 の生データ形式）

   gzipと同じ中核だが18バイトのラッパーがない — 圧縮 105 MB/s、展開 390 MB/s が同一。HTTPのdeflateで使われ、攻撃面はzlibからヘッダー解析を引いたもの

7. 7
   Brotli 1.2.0 (br)

   CVSS 9.2 のCVE-2026-111497、c/dec/decode.c 1.0.3–1.2.0 の範囲外書き込み — zstdより5%良く、圧縮 290 MB/s、展開 425 MB/s だが複雑な接頭辞木

   出典 ↗
8. 8
   LZMA / xz 5.6

   最高の比率で gzipより約30%良い が、展開は20倍遅く、2024年の xz バックドアの CVE-2024-3094 は状態機械のリスクを示す

9. 9
   bzip2 1.0.8

   Burrows-Wheeler変換 + Huffman — LZ4より200倍遅く、比率は gzipの約1.15倍。リモートで実行されるコードの履歴は少ないが、展開爆弾はなお有効

10. 10
    LZW / compress (.Z)

    1970年代の辞書の成長で、エントロピー段階なし — 比率は gzipの0.9倍、特許は失効、解析は単純だが現代のウェブではほぼ使われない

    出典 ↗

同じ質問に Grok だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd)

   1 GB/s以上で展開しつつ、中級のBrotli比率に並ぶか上回り、CPUの負荷はごくわずか。最後の10%の帯域削減は、指数的に高くつくのではなく安く済みます。

2. 2
   Brotli

   今も静的ウェブでは最も密度の高い勝者（gzipより15〜35%小さい）ですが、2026年10月のデコーダーの範囲外書き込み（CVE-2026-111497、CVSS 9.2）は、複雑な状態機械がなぜ主要な攻撃面になるかを示しました。

   出典 ↗
3. 3
   gzip / zlib の deflate

   すべてのブラウザーとHTTPスタックに今も入っている共通の代替手段。成熟しているが、数十年後も、ヒープオーバーフローのCVEが増え続けている。

4. 4
   LZ4

   極端な展開速度（しばしば3 GB/s超）と引き換えに、比率は最も低い。遅延が帯域より支配的な場合に理想的です。

   出典 ↗
5. 5
   Snappy

   グーグルの速度優先の設計は、今も多くのRPCやストレージの経路で使われる。比率は、予測しやすい低いCPU負荷でのデコードのため意図的に犠牲にされている。

   出典 ↗
6. 6
   XZ / LZMA

   テキストに対する比率は最も高いが、展開は桁違いに遅い。歴史的に、認証なしのHTTPペイロードにほとんど使われないため、ウェブに面したリモートCVEが少なくなっています。

7. 7
   LZO

   今も組み込みやファイルシステムの一部で使われる。比率と速度は gzip と LZ4 の間にあり、公開CVEの影響範囲は小さい。

8. 8
   bzip2

   高比率の旧来の選択肢で、圧縮も展開も現代のHTTPには遅すぎるため、ライブのウェブ応答の符号化にはほとんど使われない。

9. 9
   deflate（生データ / PNG 形式）

   gzipと同じアルゴリズム系統だがヘッダーがない。ウェブのランタイムが解析しなければならない多くの画像・アーカイブ形式の中核として、今も使われている。

10. 10
    lzma2（XZ 版）

    古典的なLZMAより少し柔軟だが、ウェブのプロトコルがほぼ捨てた「最大比率・最低速度」の隅に属する。

同じ質問に Gemini だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (Zstd)

   コアごとに1,200 MB/s超でウェブのテキストを展開し、他のライバルのコーデックを悩ませた静的辞書の攻撃面を避けている。

   出典 ↗
2. 2
   LZ4

   バイト単位の整列したストリーミングを重視し、4,500 MB/sの展開を実現。解析器が非常にコンパクトで、解析器の状態によるメモリー破損に強い。

   出典 ↗
3. 3
   Gzip / DEFLATE

   30年間の継続的なバイナリーのファジングを経て、圧縮されたウェブトラフィックの47.1%を支えている。デコードの上限は350 MB/sだが。

   出典 ↗
4. 4
   Snappy

   可変長のHuffmanエントロピー表を完全に退け、マイクロ秒単位の受信デコードを保証する。代わりに転送ペイロードは15%大きくなる。

   出典 ↗
5. 5
   Brotli

   122 KBの静的辞書で3.65倍のテキスト縮小を達成するが、受信側のランタイムを危険にさらし、緊急のリモートでのメモリー破損のパッチが必要になった。

   出典 ↗
6. 6
   zlib-ng

   AVX2のベクトル化により、標準のDEFLATE展開を850 MB/sへと2倍に高めつつ、厳密なRFC 1951の後方互換性を維持する。

   出典 ↗
7. 7
   LZO

   1996年にリアルタイムのリングバッファー解析を先駆けたが、2014年の整数オーバーフローは、保守されない数十年前の展開用Cコードが安全に古びることはまれだと示した。

   出典 ↗
8. 8
   bzip2

   Burrows-Wheelerの変換でテキストを効率よく圧縮するが、展開の速度が38 MB/sと受け入れがたく、受信サーバーのボトルネックになる。

   出典 ↗
9. 9
   XZ / LZMA2

   構造化された資産で4.10倍という優れた比率を出すが、受信接続1本ごとに最大64 MBの展開状態メモリーが必要。

10. 10
    Deflate64

    DEFLATEのスライディングウィンドウを64 KBに拡げたが、現代のストリーミングコーデックのような処理速度の利点はなく、特殊な解析の例外が増えただけ。

同じ質問に Nova だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   OpenSSL

   ウェブの暗号の中核で、HTTPSサイトの67%のTLS/SSLを扱う。しかし繰り返し発生するメモリー破損の欠陥に悩まされている。

2. 2
   zlib

   gzipとdeflateを支える広く使われる圧縮ライブラリー。数十年にわたる、バッファーの過読み出しとオーバーフローの脆弱性の履歴がある。

3. 3
   nghttp2

   CloudflareとNginxで使われるHTTP/2の実装。ストリーム管理にヒープ破損の欠陥があった。

4. 4
   Brotli

   グーグルの高比率の圧縮器。CVE-2026-111497 により、不正なストリーム経由でリモートからのコード実行が可能になったことで悪名高い。

5. 5
   libxml2

   PHP、Python、Ruby向けのXMLパーサー。エンティティ展開とバッファー処理で、バッファーオーバーフローの問題が過去にあった。

   出典 ↗

同じ質問に StepFun だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd, RFC 8878)

   主要なウェブのコーデックの中で、参照用のCデコーダーにメモリー破損のCVEが一度もなかった唯一のもの。

   出典 ↗
2. 2
   Brotli (RFC 7932)

   ライブのウェブで最高の比率 — そして2026年10月に、リモートでのコード実行のデコーダーのバグを出荷した唯一のコーデック。

3. 3
   gzip / DEFLATE（zlib、RFC 1952）

   今もウェブのJavaScriptの60%を圧縮する（Brotliは29%）。しかしその背後には、30年前の inflate() があり、CVEは19件ある。

4. 4
   LZ4

   コアごとにGB/s台で展開し、デコーダーは午後ひとつで監査できるほど小さい — 比率に満足できるなら。

   出典 ↗
5. 5
   Snappy

   入力250 MB/s、出力500 MB/s。gzipより比率が20〜100%悪く、まさにそれが、ウェブで負けた理由。

6. 6
   Zopfli

   DEFLATEの密度の最後の3〜8%を、約100倍の圧縮コストで買う。デコーダーの攻撃面はまったく増えない。

   出典 ↗
7. 7
   LZMA / xz (liblzma)

   この中で最も一般的な用途の比率 — そして、参照用のtarballに意図的なバックドアを出荷した唯一のもの。

8. 8
   bzip2

   Python標準ライブラリーに残る2009年頃の形式。BZ2_decompress は2019年まで範囲外へ書き込み続けていた。

9. 9
   zlib-ng

   zlibの差し替えとしてすぐ使え、測定上は速い — ただし、短いが現実のCVEの一覧もある。

   出典 ↗
10. 10
    LZO (liblzo2)

    2014年の午後1回で4件のCVE、すべて「高速な」コーデックのリテラル列デコーダーの整数オーバーフロー。警告の例。

同じ質問に Kimi だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd, RFC 8878)

   比率はgzipより勝る（約10〜15%小さい）一方、Brotliの約2倍速くデコードする — デコーダーのメモリー破損のCVEはゼロ。

   出典 ↗
2. 2
   Brotli (RFC 7932)

   ウェブのテキストで最高の比率（gzipより15〜20%小さい）。そして今週、認証なしのデコーダーのRCE（CVE-2026-111497）が見つかった。

3. 3
   DEFLATE / zlib（gzip）

   すべてのクライアントが理解できる基本形：サイトの93.4%が応答を圧縮し、そのバイトのほぼ全てが30年前の inflate() で展開される。

4. 4
   Zopfli（グーグル）

   エンコーダー専用のDEFLATE最適化ツール。すべてのクライアントがすでにその出力をデコードするため、新しいデコーダーの攻撃面なしで比率の勝負に勝つ。

   出典 ↗
5. 5
   LZ4

   リストで最速のデコーダー — そして、その有名なメモリーの不具合（CVE-2021-3520）は、単一の memmove() の整数オーバーフローだった。

   出典 ↗
6. 6
   Snappy（グーグル）

   LevelDB/MongoDBの自家製コーデック。ここで最もきれいなC++の脆弱性記録だが、その代わり圧縮比率は最も弱い。

7. 7
   xz / LZMA (liblzma)

   Brotli以外で最高の比率 — しかしデコーダーは新しいバグの種類を見つけ続け、最悪のCVE（10.0）は、数学ではなく管理者から来た。

8. 8
   bzip2（Burrows-Wheeler 方式）

   2019年の範囲外書き込みは、NVDでは9.8の「重大」、Red Hatでは4.4。「脆弱性の密度」が採点の判断でしかないことの最も純粋な例。

9. 9
   LZW（Unix の compress）

   弁護士によって退けられた、唯一のメモリーのバグではないもの：ユニシスの特許（US 4,558,302）は2003年6月20日に失効 — ウェブがすでにGIFからPNGへ移った後で。

   出典 ↗
10. 10
    共有 Brotli（Compression Dictionary Transport）

    最先端：サイトごとの共有辞書で、再訪問者にBrotli以上の比率を与え、ウェブで最も検査が少ないデコーダーの状態機械を使う。

    出典 ↗

同じ質問に DeepSeek だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd) 2026

   1,550 MB/sで展開しながら、Brotliの比率に並ぶ — 速いデコーダーがそのまま単純な攻撃面にもなる、まれな例。

   出典 ↗
2. 2
   Brotli 2026

   ウェブテキストで最高クラスの比率（2.883）が、参照用Cデコーダーで CVSS 9.2 の範囲外書き込みを生んだ — 収穫逓減の判断の典型例。

   出典 ↗
3. 3
   gzip / DEFLATE (zlib) 2026

   30年間インターネットの既定：比率2.743倍、デコード390 MB/s。しかし14〜19件のCVEがあり、最も攻撃され続けてきたウェブのコーデック。

4. 4
   LZ4 2026

   数GB/sの展開でスループットの王者だが、約2.1倍の比率はzstdより約25%多くのバイトを要する。そしてそのCデコーダーのCVEの影響範囲ははるかに小さい。

   出典 ↗
5. 5
   XZ / LZMA2 2026

   リストで最高の比率（3.43倍）だが、展開は35 MB/s。CVSS 10.0のサプライチェーンのバックドアに見舞われた — 最大の圧縮、最大のリスク。

6. 6
   bzip2 2026

   ブロック並べ替えの圧縮はテキストで強い比率を出すが、展開は遅く、整数オーバーフローと範囲外書き込みのCVEが長く続いている。

7. 7
   Snappy 2026

   グーグルのLZ77の派生は、比率より速度を優先する。コアのC++ライブラリーは軽量だが、Javaのバインディングでは最近、CVSS 7.5以上のヒープオーバーフローが出た。

   出典 ↗
8. 8
   LZO 2026

   リアルタイムの展開用に設計されたLZOは、217 MB/sで2.64倍の比率を出すが、ウェブ上のCVEの履歴はほぼない — 攻撃面の小さい主力。

9. 9
   DEFLATE (raw) 2026

   生のRFC 1951ストリームは可能な限り単純なウェブのコーデックだが、gzipのCRCラッパーがないため、zlibの19件のinflateの履歴をそのまま引き継ぐ。

   出典 ↗
10. 10
    LZMA（単独形式）2026

    LZMA SDKは .xz コンテナーなしで xz 並みの比率を出すが、そのデコーダーはこのリストで最も遅く、xzと同じ複雑な状態機械の攻撃面を共有する。

同じ質問に Wenxin だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   Zstandard (zstd)

   同程度の高速設定でzlibより5倍速く圧縮し、展開は4倍速い。比率はわずかに良く、内蔵の静的辞書がないため攻撃面を膨らませない

   出典 ↗
2. 2
   Gzip

   公開されたファジングテストが数十年にわたり、ほぼすべての自明なメモリー破損の欠陥を網羅している、普遍的なウェブの代替手段

   出典 ↗
3. 3
   Brotli

   120 KBの組み込み静的辞書は強いテキスト圧縮を出すが、今では2026年の重大な範囲外書き込みの脆弱性の公開PoCを抱えている

   出典 ↗
4. 4
   Deflate

   gzipを支える生のDEFLATE仕様。HTTPのラッパー処理が余計にないため、解析の攻撃面を増やさない

   出典 ↗
5. 5
   LZ4

   ほぼメモリー上の行の展開に最適化され、低遅延の処理では最大の圧縮比率より速度を優先する

   出典 ↗
6. 6
   Snappy

   グーグルが開発した低複雑性のアルゴリズム。メモリー安全性の欠陥につながるデコーダー側の複雑さを避けるよう設計された

   出典 ↗
7. 7
   LZF

   2000行未満の最小のC実装で、HTTPの用途向けの構造解析の複雑さは最小限

8. 8
   LZMA

   最大の圧縮比率は極めて高いが、そのかわり展開の複雑さは指数的で、スループットは非常に低い

9. 9
   bzip2

   Burrows-Wheeler変換に基づくアルゴリズムで、速度が遅く、アクティブなセキュリティ保守もないため、現代のウェブではほぼ使われない

10. 10
    DEFLATE64

    より大きいウィンドウサイズを持つDEFLATEの拡張版。追加の状態ロジックを導入するが、標準のHTTPのウェブサポートはない

    出典 ↗

同じ質問に Qwen だけが答えたものです。上の最終リストはすべての AI をまとめています。

1. 1
   LZ4

   RAMの速度で展開し、状態機械が単純すぎて脆弱性スキャナーにほとんど引っかからない。

2. 2
   Zstandard (Zstd)

   Facebookの技術的な傑作で、LZ4に近い展開速度と、gzipを上回る比率を両立させる。

   出典 ↗
3. 3
   Snappy

   グーグルの速度優先の圧縮器は、展開のスループットのために比率を犠牲にし、解析ロジックを徹底的に小さく保つ。

4. 4
   Brotli

   ウェブの静的資産の主力だが、複雑な辞書の解析器が2026年10月の PHP2Shell と HTTP2Shell のRCEの欠陥を引き起こした。

5. 5
   Deflate (zlib)

   30年の歴史を持つHTTPの土台。整数のラップアラウンドについての大量で詳しく文書化された一覧と引き換えに、普遍的な互換性を得ている。

   出典 ↗
6. 6
   Gzip

   Deflateを包む10バイトのヘッダーにすぎず、その基盤エンジンのメモリー破損の欠陥をすべて引き継ぐ。

   出典 ↗
7. 7
   LZMA / XZ

   巨大な辞書の状態機械を作って見事な比率を出すが、2024年にサプライチェーンのバックドアを招いたことで知られる。

   出典 ↗
8. 8
   bzip2

   Burrows-Wheeler変換は数学的に優雅だが、計算負荷が大きく、現代のウェブの標準ではほぼ見捨てられている。

   出典 ↗
9. 9
   LZFSE

   アップルの独自のエネルギー効率の良いコーデックは、モバイルのバッテリーの持ちが良いが、標準のオープンなウェブの外で不透明な状態のロジックを持ち込む。

   出典 ↗
10. 10
    Zopfli

    エンコーダー専用の珍品で、標準のDeflateデータを出力するだけのために、ファイルの圧縮に何時間もかかる。展開のセキュリティの利点はゼロ。

    出典 ↗