新しいNGINX 0-Day「nginx-poolslip」が数百万台をRCEに晒す

「nginx-poolslip」と呼ばれる重大なゼロデイ遠隔コード実行(RCE)脆弱性が、世界で最も広く導入されているWebサーバソフトウェアの最新安定版であるNGINX version 1.31.0で公開されました。

2008年からコードベースに組み込まれていたこの欠陥は、推定570万台のインターネット公開NGINXサーバをDoS攻撃および条件付きRCEに晒していました。

F5はNGINX Open Sourceバージョン1.31.0および1.30.1でパッチを適用しましたが、nginx-poolslipはまさにこれらのバージョンを対象にしています。

nginx-poolslipはNGINXの内部メモリプール処理メカニズムの欠陥を悪用し、認証を必要としない攻撃者が遠隔コード実行を達成し、システム全体を侵害する可能性があります。

最も重大なことに、この脆弱性はアドレス空間配置のランダム化(ASLR)のバイパスとして機能し、これはメモリ破損による攻撃のこのカテゴリを阻止するために設計されたOSレベルの基盤的なメモリ保護です。

攻撃面はnginx-riftという関連脆弱性にまで遡り、これは以前のNGINXバージョンに影響を与え、その後パッチが適用されました。

しかし、NebSecの研究では、nginx-riftのパッチが失敗し、根本的なメモリプール攻撃面を改善できず、更新されたコードベースにおいてnginx-poolslipが出現する余地を残していることが確認されています。

NGINXは世界中のWebサーバの推定30～40%を支えており、高トラフィックプラットフォーム、リバースプロキシ、ロードバランサー、およびAPIゲートウェイにまたがっています。

nginx-poolslipが特にバージョン1.31.0を対象としているため、パッチは管理者によって急いで展開されました。CVE-2026-42945に続いて、速やかに対応した組織も、新しい未パッチの脅威に再び晒される可能性があります。

NebSecは30日間の責任ある開示タイムラインの下で運営されており、公式な修正がリリースされるまで、完全なASLRバイパス方法論を含むすべての技術的詳細を保留しています。

公式なパッチが発行されるまで、管理者は以下の暫定措置を実装する必要があります:

関連記事