LLM搭載システムがNginx内の4つのセキュリティバグを発見。その中にはWebサーバーのURL書き換えモジュールの重大なものが含まれている
研究者らは、特定の条件下で遠隔コード実行につながる可能性のある、広く使われているNginxウェブサーバーの重大な脆弱性を発見しました。この欠陥はヒープバッファオーバーフローで、過去18年間プログラムのコードで検出されませんでした。
CVE-2026-42945として追跡されているこの脆弱性は、セキュリティスタートアップDepthFirst AIの研究者らがLLM搭載プラットフォームを使用してNginxで発見した4つのバグの1つです。これは、セキュリティスキャナーと人間が高名なオープンソースプロジェクト内で見逃してきた欠陥の増加傾向に追加されていますが、最近数ヶ月でAIモデルの助けで発見されています。
Nginxはもっとも一般的なウェブサーバーの1つで、インターネット上のすべてのウェブサイトのほぼ3分の1をサポートしており、多くの商用製品にも統合されています。このソフトウェアは、他のウェブアプリケーションおよびサーバーのリバースプロキシ、ロードバランサー、キャッシュとして一般的に使用されています。
CVE-2026-42945脆弱性はURL書き換えを処理するngx_http_rewrite_moduleコンポーネント内に位置し、Nginxバージョン0.6.27から1.30.0に影響します。この問題には9.2のCVSS重大度スコアが付与され、バージョン1.31.0および1.30.1で修正されました。
ネットワークおよびアプリケーションセキュリティ企業F5が所有・開発している商用製品Nginx Plusも脆弱で、バージョンR36 P4、R32 P6、および37.0.0でパッチを受け取りました。NginxオープンソースおよびNginx Plusベースのその他のF5製品が影響を受けていますが、まだアップデートを受け取っていません。これにはNginx Instance Manager、F5 WAF for Nginx、Nginx App Protect WAF、F5 DoS for Nginx、Nginx App Protect DoS、Nginx Gateway Fabric、およびNginx Ingress Controllerが含まれます。
「この脆弱性は、書き換えディレクティブの後に書き換え、if、またはsetディレクティブと、名前のないPerl互換正規表現（PCRE）キャプチャ（例えば、$1、$2）が続き、置換文字列に疑問符（?）を含む場合に存在します」とF5はその勧告で述べています。同社によると、悪用はサーバークラッシュの形でのサービス拒否状態をもたらし、アドレス空間レイアウトランダム化（ASLR）が無効になっているシステムでは任意コード実行をもたらします。
RCEの実現
DepthFirstが開発してF5と共有した概念実証（PoC）エクスプロイトはASLRバイパスを含まなかったが、研究者らはそれを達成することが可能だと考えています。ASLRはメモリ破損エクスプロイト軽減技術で、ほとんどの最新オペレーティングシステムにデフォルトで存在し有効になっています。
「Nginxはマスタープロセスからワーカープロセスがフォークするマルチプロセスアーキテクチャを使用しています」とDepthFirstの研究者Zhenpeng Linはブログポストで述べました。「このデザインのため、メモリ空間はすべての子ワーカーに対して完全に複製されます。これはヒープレイアウトが異なるワーカー全体で完全に決定的であることを意味します。エクスプロイトが失敗してワーカーがクラッシュした場合、マスタープロセスは単に同じメモリレイアウトを持つ新しいものを生成します。これにより、ワーカーのクラッシュとメモリレイアウトの変更を心配することなく、成功するまで安全に複数回試行することができます。理論的には、このデザインを活用してポインタをバイト単位で段階的に上書きすることによってASLRをリークできます。」
研究者らはまた、この脆弱性を悪用するために必要なNginx構成が一般的であると考えています。例えば、URL書き換えルールはAPIエンドポイントを新しい場所に移行し、古いURLをクエリしようとしている外部クライアントに中断を引き起こさないようにするときに使用されることが多いです。setディレクティブを使用して元のパスまたはその一部をカスタム変数に保存して状態を維持し、エンドポイントを動的にルーティングするか、監査およびログ目的でバックエンドアプリケーションに渡すことができます。
「これら2つのディレクティブは一緒に、APIゲートウェイ構成の一般的な構成要素です」とLinは述べました。
概念実証エクスプロイトがGitHubで公開されているため、ユーザーはできるだけ早くパッチバージョンにアップグレードするよう勧告されています。Nginxの脆弱性は過去に攻撃者によって悪用されているためです。サービス拒否だけでも、研究者らが想定したASLRバイパスなくても、ウェブサーバーに対して深刻なリスクです。
DepthFirstが開示してNginxの新しいリリースで修正された他の3つの脆弱性も、サービス拒否、メモリリーク、またはデータ変更につながる可能性があります。これらはCVE-2026-42946（CVSS 8.3–高重大度）、CVE-2026-42934（CVSS 6.3–中）、およびCVE-2026-40701（CVSS 6.3–中）として追跡されています。
