F5は2026年10月14日、NGINX Plus、NGINX Open Source、および関連する複数の製品に影響を及ぼす3件のメモリ破損の脆弱性を公開しました。
特定の設定と悪用条件が重なった場合、これらの脆弱性によってリモートの攻撃者がサービスを妨害したり、悪意あるコードを実行したりする可能性があります。
3件とも、CVSS v3.1のスコアは8.1、CVSS v4.0のスコアは「Critical」にあたる9.2です。いずれもデータプレーンに影響し、コントロールプレーンは露出しません。
CVE-2026-97205 は、ngx_http_core_moduleに存在するuse-after-freeの脆弱性で、CWE-416に分類されます。特定の構成で非同期ファイルI/Oが有効になっている場合、include virtualコマンドを含むServer Side Includesページを処理すると、NGINXのワーカープロセスで不正なメモリアクセスが発生する恐れがあります。
その結果生じるメモリ破損により、ワーカーが突然終了したり、コード実行が可能になったりする可能性があります。F5は、この問題を報告した研究者としてCyberlanc3r氏の名前を挙げています。
CVE-2026-93479は、mapディレクティブと正規表現マッチングに関連するヒープバッファオーバーフローです。
脆弱な構成では、mapの出力変数を参照する前に、そのmapの正規表現キャプチャ変数をrootディレクティブやアクセスログ形式で参照しています。キャッシュ不可能な変数を使った特定の文字列式でも、この問題が発生する可能性があります。
認証されていない攻撃者が細工したHTTPリクエストを送ると、ワーカーが再起動する恐れがあります。ただし、悪用には攻撃者の制御が及ばない追加の条件が必要です。
3件目の脆弱性である CVE-2026-15176は、locationでalias、rewrite、および$request_filenameを参照するsetまたはreturnディレクティブを組み合わせた場合に、ngx_http_core_moduleに影響します。
この変数をアクセス用のlog_formatディレクティブで使用した場合も、別の経路で脆弱性が発動します。認証されていない攻撃者が細工したHTTPリクエストを送ることで、ヒープバッファオーバーフローとワーカーの再起動が起こり得ますが、こちらも追加の条件が必要です。この脆弱性はF5が社内で発見しました。
F5によると、3件いずれも、アドレス空間配置のランダム化（ASLR）が無効な場合、または攻撃者がそれを回避できる場合に、コード実行が可能になります。
このため、セキュリティアドバイザリが示しているのは、影響を受けるすべての環境が無条件にリモートから侵害されるという事態ではなく、条件付きでのコード実行です。
NGINX Plusでは、37.0.0から37.0.4までが3件すべての影響を受け、修正版は37.0.5.1と37.1.0.1です。R33からR36までのリリースも脆弱ですが、これらのブランチに対する修正版は示されていません。
NGINX Open Sourceの修正版は1.30.6と1.31.7です。影響範囲は脆弱性ごとに異なります。CVE-2026-97205は1.30.0〜1.30.5と1.31.0〜1.31.6が対象で、CVE-2026-93479は1.30.0〜1.30.5と1.31.2〜1.31.6が対象です。CVE-2026-15176は、0.1.29〜0.9.9、1.0.0〜1.30.5など、さらに古いリリースにも及びます。
関連製品の修正版は、NGINX Instance Manager 2.24.0、NGINX Gateway Fabric 2.8.0、NGINX Ingress Controller 5.7.0、F5 WAF for NGINX 5.14.2または5.16.0、F5 DoS for NGINX 4.11.0です。影響を受ける製品ブランチは異なるため、管理者は各アドバイザリを確認してください。
アップグレードを適用するまでの間、F5はCVE-2026-97205についてAIOまたはSSIのいずれかを無効にするよう推奨しています。CVE-2026-93479については、名前のない正規表現キャプチャを名前付きキャプチャに置き換え、その使用を一致するブロック内に限定してください。
CVE-2026-15176については、locationブロックでaliasを使わず、$request_filenameも避けてください。設定変更は本番環境に展開する前にテストしてください。AIOを無効にするとファイル配信の負荷が高いワークロードに影響する可能性があり、SSIを無効にするとページの表示が変わります。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を減らしています。チームでの導入を検討する
翻訳元: https://cyberpress.org/multiple-nginx-vulnerabilities/
