F5とJuniper Networks、重大な脆弱性を修正

F5とJuniper Networksは、両社の製品に存在する数十件の脆弱性に対するパッチを公開しました。この中には、重大度が「クリティカル」のリモートコード実行（RCE）の欠陥も含まれています。

セキュリティおよびアプリケーションデリバリーを手がけるF5は、NGINXの11件のセキュリティ上の欠陥に対する修正を発表しました。このうちCVE-2026-15176とCVE-2026-93479は重大度がクリティカルのバグで、細工したHTTPリクエストにより、認証なしで悪用される恐れがあります。

攻撃者が制御できない特定の条件下では、認証されていない攻撃者がこれらの脆弱性を悪用してバッファオーバーフローを引き起こし、再起動を招く可能性があります。ASLRが無効である場合、またはバイパスできる場合には、攻撃者がRCEを達成できる恐れもあります。

もう1件のクリティカルな問題であるCVE-2026-97205は、メモリ破損やワーカープロセスの終了を引き起こす可能性があります。ASLRが無効な場合は、RCEにつながる恐れもあります。

残りの脆弱性を悪用されると、攻撃者は検証や妥当性確認を回避したり、機密情報を読み取ったり、リクエスト属性を偽装したり、プロキシされたリクエストにデータを注入したり、メモリ使用量を際限なく増大させたり、認証前に保護されたパスにアクセスしたりできる可能性があります。

Juniper Networksは今週、Junos OSとJunos OS Evolvedにおける150件超のセキュリティ上の欠陥と、Juniper Cloud-Native Router（JCNR）における4件のバグについて詳述した17件のアドバイザリを公開しました。

これらのうち約24件はクリティカルな問題で、root権限でのコード／コマンド実行、デバイスの完全な乗っ取り、カーネルパニック、クラッシュ、ルーティングエンジンの再起動、サービス中断、バッファオーバーフロー（オフバイワンエラーが原因）などにつながります。

同社は、RCEやサービス拒否（DoS）などの攻撃につながる、重大度が「高」の複数の脆弱性にもパッチを適用しました。

F5とJuniper Networksは、これらの脆弱性が実際に悪用されているとの情報には言及していません。