NGINXの新たな3件の脆弱性は、現時点で悪用は確認されていませんが、システムのクラッシュやサービス拒否(DoS)、コード実行につながるおそれがあります。
F5が、主力製品の脆弱性を再び公表しました。
アプリケーションデリバリーとセキュリティを手がける同社は、ウェブサイトのトラフィックを制御する高性能ソフトウェア「NGINX」の複数の脆弱性に対処するため、定例外(OOB)のセキュリティパッチを公開しました。このうち3件は深刻度が「重大」で、攻撃者によるシステムのクラッシュやコード実行、サービス拒否(DoS)攻撃につながるおそれがあります。
OOBセキュリティパッチとは、通常の保守サイクルとは別に公開される緊急のソフトウェア更新のことです。
CVE-2026-15176、CVE-2026-97205、CVE-2026-93479は、最新版(4.0)の共通脆弱性評価システム(CVSS)で、いずれも深刻度9.2と評価されています。影響を受けるのは、NGINX Plus、NGINX Open Source、NGINX Ingress Controller、NGINX Gateway Fabric、NGINX Instance Managerです。
F5は、これらの問題が実際に悪用されている証拠は確認していないとしつつ、顧客に対して修正版のインストールまたはアップグレードを呼びかけています。アナリストも同じ見方です。
Dickson ResearchのFrank Dickson氏(プロフィール)は「NGINXはいわば玄関口です。リバースプロキシ、ロードバランサー、Kubernetesのイングレスとして機能します」と述べ、トランスポート層セキュリティ(TLS)は通常NGINXで終端されると指摘します。「そこでコードを実行されれば、パスワードやセッションCookie、APIトークンが平文で丸見えになります。信頼の土台となる秘密鍵も同様です」
攻撃者によるシステムのクラッシュを許すおそれ
CVE-2026-15176とCVE-2026-97205は、F5のNGINXにおけるngx_http_core_moduleの脆弱性で、サーバーのワーカープロセスでヒープバッファオーバーフローを引き起こす可能性があります。この種のメモリ破壊により、システムがクラッシュまたは再起動し、攻撃者に侵入の足がかりを与えるおそれがあります。また、アドレス空間配置のランダム化(ASLR)が無効な環境では、攻撃者がコードを実行できる可能性があります。ASLRは、アプリの起動時にメモリ位置をランダムに配置して悪用を防ぐ技術ですが、これを回避される場合もあります。F5によると、これらの脆弱性を突いてDoS攻撃を仕掛け、正規ユーザーがサーバーにアクセスできない状態にすることも可能です。
CVE-2026-93479も同様の脆弱性です。mapディレクティブの欠陥により、攻撃者が細工したHTTPリクエストを送ってヒープバッファオーバーフローを起こせます。ASLRが無効な場合、またはASLRを回避された場合には、コード実行も可能です。
これらの脆弱性は、F5が6月に公表したCVE-2026-42530に続くものです。NGINX Open Sourceのngx_http_v3_moduleにあるこの脆弱性も、リモートの攻撃者によるDoSやコード実行を許す可能性がありました。
F5によると、CVE-2026-15176は、locationブロックで$request_filename変数とalias ディレクティブを併用しないことで緩和できます。CVE-2026-97205は、非同期ファイルI/O(AIO)とサーバーサイドインクルード(SSI)を無効にすれば緩和できます。
一方、CVE-2026-93479については、無名キャプチャを避けて名前付きキャプチャを使い、その使用を正規表現にマッチしたブロック内に限定するよう、F5は助言しています。
ただし、InfotechのシニアリサーチアナリストであるSeva Ioussoufovitch氏は「NGINXは幅広いシステムで使われているため、多くの企業でサービスが利用できなくなるリスクが高まるかもしれません」と指摘します。
相次ぐセキュリティ問題の最新事例
この3件の脆弱性は、現時点で悪用は確認されていません。ただ、F5は近年、たびたびサイバー攻撃の矢面に立ってきました。アナリストらによると、同社は数万社の顧客を抱え、その中にはFortune 500の80%も含まれるため、懸念は小さくありません。
攻撃者は同社のシステムや製品の脆弱性を繰り返し狙い、内部サーバーの探索、デバイスの乗っ取り、システムへの侵入、機密文書の窃取、データを消去するマルウェアの展開などを行ってきました。米サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は過去5年間に、F5の脆弱性8件を悪用が確認されたものとして警告しています。このうち4件は、ランサムウェア攻撃で狙われました。
たとえば、2025年に発生した国家支援型の侵害と、CISAの緊急指令26-01は、F5のBIG-IPが中心でした。当時F5は、NGINXのソースコードにはアクセスされていないと説明しています。しかしDickson氏は、NGINXにとっての「警告射撃」は5月に訪れたと指摘します。リライトモジュールのオーバーフロー脆弱性CVE-2026-42945(通称NGINX Rift)で、リモートコード実行の概念実証コード(PoC)が公開されたのです。
同氏は「今週明らかになったaliasとrewriteの欠陥も、同じ領域にあります。攻撃者も変更履歴を読んでいますから」と警告します。
緩和策
Ioussoufovitch氏によると、これらの脆弱性は設定に依存するため、企業はまず現在のNGINXの設定を監査し、パッチ適用の優先度をリスクに応じて判断すべきです。F5も、ASLRが無効な場合はリモートコード実行(RCE)のリスクが著しく高まると述べています。利用者はASLRなどOSレベルの一般的な防御が有効になっているかを改めて確認し、同種の攻撃による悪用リスクを少なくとも抑える必要があります。
企業は、NGINXが稼働するシステムの一覧を明確に把握しておく必要があります。他の製品に組み込まれている場合も例外ではありません。これは、設定の監査、ネットワークの分離、NGINXワーカーの監視を進めるうえで不可欠です。ワーカーの監視は、攻撃者が「この種の脆弱性を探っている」ことを示す兆候の発見につながると、Ioussoufovitch氏は述べています。
同氏は「NGINXは今年すでに複数回のセキュリティリリースを出しており、この傾向は今後も長く続くと見ています」と話します。
Dickson氏も、まず資産の棚卸しが第一歩だという点で一致しています。NGINXはイングレスコントローラー、アプライアンス、コンテナイメージの中に「潜んで」います。多くのチームは、nginx.orgではなくLinuxディストリビューション経由でNGINXを入手しており、Amazon LinuxではAIOの修正がいまだ保留中と記載されています。
「ベンダーのサイトに修正が公開されても、自社のサーバーにパッチが当たるわけではありません」と同氏は注意を促します。
棚卸しに加えて、企業は設定内を調べ、aliasとrewriteの組み合わせ、AIOとSSIの組み合わせ、無名の正規表現キャプチャを使ったmapブロックを探すべきです。
今日パッチを適用できない場合の回避策は単純だと、Dickson氏は説明します。AIOを無効にするか、SSIページの提供をやめる。mapを名前付きキャプチャに切り替える。ASLRが有効であることを確認し、ワーカーを非特権で実行する。そして、玄関口となるサーバーを分離し、最重要資産に到達できないようにする。さらに、ワーカープロセスが再起動を繰り返していないかも監視してください。
Dickson氏は「これらの欠陥が牙をむくには、特定の設定が必要です。それが救いです」と話します。「悪いニュースは、自社のNGINXの設定が実際にどうなっているのか、把握していない組織が多いかもしれないことです」
