2026年10月に、PHP の脆弱性（CVE-2026-109618、CVE-2026-109619）と、圧縮形式 Brotli の伸長処理の脆弱性（CVE-2026-111497）が公表されました。このことにつき、Copper PDF 3.x 系はこれらの脆弱性の影響を受けません。
PHP の脆弱性について
Copper PDF のサーバー本体は Java で動作し、PHP を使用していません。配布物にも PHP は含まれていません。
PHP のプログラムから Copper PDF を使うための PHP ドライバは、お使いの環境の PHP の上で動作します。PHP ドライバ自体はこの脆弱性に関係しませんが、PHP を使っているシステムでは、PHP を修正版（8.2.35・8.3.36・8.4.27・8.5.12）以降に更新してください。PHP 8.1 以前には修正版が出ていません。
Brotli の脆弱性について
今回の脆弱性は、Google が公開している C 言語版の Brotli（バージョン 1.0.3〜1.2.0）の伸長処理にあります。Copper PDF 3.x 系は Brotli のライブラリを含んでおらず、Brotli で圧縮されたデータを伸長することもありません。
同梱している Web サーバー Jetty のファイルの中に、Brotli 圧縮のモジュールの定義（brotli-compression.mod、compression-brotli.mod）があります。これは Jetty に付属する定義で、Copper PDF では有効にしておらず、Brotli のライブラリも同梱していません。脆弱性の検査ツールなどでこれらのファイル名が見つかった場合も、影響はありません。
関連情報
RCE via OOM corruption（CVE-2026-109618、PHP）
RCE via stale global state（CVE-2026-109619、PHP）
Brotli v1.2.1（CVE-2026-111497 の修正版、Google）