NGINXの5件のセキュリティ欠陥に対する修正が公開されました。ただし、影響を受けるかどうかはサーバーの設定次第です。3件のメモリ破壊の脆弱性は、特定の条件下でリモートコード実行を許す可能性があります。
F5は2026年10月14日、これらのメモリ破壊の欠陥に加え、HTTP/3のリクエストインジェクションとTLSセッション偽造の脆弱性を修正しました。更新プログラムはNGINX Open Sourceのバージョン1.30.6と1.31.7で提供されており、影響を受けるエンタープライズ製品にも対応するパッチが用意されています。
Webサーバー、リバースプロキシ、Kubernetesインフラを管理する管理者は、導入済みのバージョンと有効化されている機能を確認する必要があります。設定によって影響の有無が変わる点は、最近判明したNetScalerの認証に関する脆弱性への対処も複雑にしています。この脆弱性では、ソフトウェアのバージョン確認だけでは不十分です。
NGINXの5件の欠陥と影響を受ける設定
NGINXのセキュリティアドバイザリは、5件すべての脆弱性を深刻度「中」に分類しています。一方、F5は3件のメモリ破壊の欠陥に、CVSS v4.0で「クリティカル」に相当する9.2のスコアを付けています。
| CVE | 脆弱性 | 影響を受ける設定 |
|---|---|---|
| CVE-2026-15176 | ヒープバッファオーバーフロー | aliasとrewriteを、$request_filenameの特定の使い方と組み合わせた場合 |
| CVE-2026-93479 | ヒープバッファオーバーフロー | 正規表現mapのキャプチャ参照が早すぎるタイミングで行われる場合、または特定のキャッシュ不可な変数式を使う場合 |
| CVE-2026-97205 | 解放後使用（Use-after-free） | SSIのvirtual includeと非同期ファイルI/Oを併用した場合 |
| CVE-2026-95101 | HTTP/3リクエストボディのインジェクション | HTTP/3と、影響を受けるプロキシのリクエストバッファリングを併用した場合 |
| CVE-2026-97629 | TLSセッション偽造 | 共有TLSセッションキャッシュと、チケットキーの自動ローテーションを併用した場合 |
3件のメモリ破壊の脆弱性は、NGINXのワーカープロセスをクラッシュさせる恐れがあります。アドレス空間配置のランダム化（ASLR）が無効、または回避された場合は、リモートコード実行も可能になるかもしれません。
F5の技術アドバイザリは、CVE-2026-15176の原因として、alias、rewrite、$request_filenameの組み合わせを挙げています。CVE-2026-93479は変数が早すぎるタイミングで評価されることに起因します。CVE-2026-97205は、非同期I/Oと、virtual includeを使うServer Side Includes（SSI）を併用した場合に影響します。
残る2件は、リクエスト処理と認証に影響します。CVE-2026-95101では、意図しないリクエストボディのデータがバックエンドのアプリケーションに転送される可能性があります。CVE-2026-97629では、特定の非決定的な条件下で、TLSセッションの偽造やクライアント証明書の検証回避を招く恐れがあります。2026年10月20日時点で確認した情報源では、これら5件の脆弱性が悪用されたことを公に裏付ける情報は見つかっていません。
パッチ適用とNGINXのリスク低減
管理者は、NGINX Open Sourceを安定版の1.30.6、またはメインライン版の1.31.7にアップグレードしてください。NGINX Plusの利用者は製品別のパッチ適用ガイダンスに従ってください。Kubernetesの運用者は、NGINX Ingress Controller 5.7.0、またはサポート対象の適切な長期サポート（LTS）版の更新を適用する必要があります。
セキュリティチームは、インターネットに公開されている環境を優先し、次の対策を講じてください。
- パッチ適用とインストールの確認：サポート対象の修正を適用し、
nginx -vでバージョンを確認します。バックポートされたパッチがないかも確認してください。過去に効果のなかったセキュリティ更新の例は、修正の確認が重要であることを示しています。 - 脆弱な設定の監査：
nginx -Tを使い、関連するalias、rewrite、map、AIO、SSI、HTTP/3、TLSセッションキャッシュの設定を点検します。 - 一時的な緩和策の適用：必要に応じて、HTTP/3や未使用のSSI・AIO機能を無効にし、TLSチケットの設定を見直し、脆弱なディレクティブの組み合わせを修正します。
- バックエンドへのアクセス制限：アプリケーションサーバーへの接続を、許可されたプロキシと信頼できるネットワークに限定します。
- 不審な動きの監視：ワーカーの予期せぬクラッシュ、通常と異なるリクエストボディの動き、TLS認証の異常を調査します。最近のWordPressのRCE悪用も、パッチ適用後に侵害の有無を確認する価値を示しています。
- インシデント対応計画のテスト：エスカレーション、証拠保全、ロールバック手順、サービス復旧を検証します。
設定を変更する場合は、本番環境に展開する前にテストしてください。対策の基本はあくまでパッチ適用です。その後、影響を受けるサービスと認証の仕組みが正常に動作することを確認してください。
関連記事：Citrixも特定のSAML構成に影響するNetScalerの重大なRCE脆弱性にパッチを公開しました。バージョンの確認に加え、設定の評価も必要であることを示すもう一つの例です。
翻訳元: https://www.esecurityplanet.com/news/news-nginx-five-security-flaws-patched/
