NGINXのセキュリティ欠陥5件にパッチが適用されたが、影響の有無はサーバー構成によって異なる。メモリ破損の脆弱性3件は、特定の条件下でリモートコード実行を許す可能性がある。
F5は2026年10月14日、メモリ関連の欠陥に加え、HTTP/3のリクエストインジェクションとTLSセッション偽造の脆弱性に対処する修正をリリースした。更新版はNGINX Open Source 1.30.6および1.31.7で提供され、影響を受けるエンタープライズ製品向けにも対応パッチが用意されている。
Webサーバー、リバースプロキシ、Kubernetesインフラを管理する管理者は、インストール済みのバージョンと有効化された機能を確認する必要がある。構成に依存する影響は、最近のNetScaler認証の脆弱性への対処も複雑にする。影響を受ける環境では、ソフトウェアのバージョン確認だけでは不十分だ。
NGINXの5件の欠陥と影響を受ける構成
The NGINXのセキュリティアドバイザリでは、5件の脆弱性すべてを中程度の深刻度に分類している。一方、F5はメモリ破損の脆弱性3件に、CVSS v4.0で9.2の重大なスコアを割り当てている。
| CVE | 脆弱性 | 影響を受ける構成 |
|---|---|---|
| CVE-2026-15176 | ヒープバッファーオーバーフロー | aliasおよびrewrite特定の用途における$request_filename |
| CVE-2026-93479 | ヒープバッファーオーバーフロー | 正規表現のmapキャプチャー参照の早期評価、またはキャッシュできない特定の変数式 |
| CVE-2026-97205 | 解放後使用 | SSIの仮想インクルードを伴う非同期ファイルI/O |
| CVE-2026-95101 | HTTP/3リクエストボディーインジェクション | 影響を受けるプロキシのリクエストバッファリングを使用するHTTP/3 |
| CVE-2026-97629 | TLSセッション偽造 | 自動的なチケットキーのローテーションを伴う共有TLSセッションキャッシュ |
メモリ破損の脆弱性3件により、NGINXのワーカープロセスがクラッシュする可能性がある。Address Space Layout Randomization（ASLR）が無効化または回避されている場合、リモートコード実行も可能になる恐れがある。
F5の技術アドバイザリは特定しているalias, rewriteおよび$request_filenameCVE-2026-15176の背後にある組み合わせを。CVE-2026-93479は変数の早期評価に関係し、CVE-2026-97205は、仮想インクルードを使用するServer Side Includes（SSI）と非同期I/Oの組み合わせに影響する。
残る脆弱性は、リクエスト処理と認証に影響する。CVE-2026-95101では、意図しないリクエストボディーのデータがバックエンドアプリケーションに転送される可能性がある。一方、CVE-2026-97629では、特定の非決定的な条件下でTLSセッションの偽造とクライアント証明書検証の回避が可能になる恐れがある。2026年10月20日時点で、確認した情報源からこれら5件の脆弱性が実際に悪用されたことを公に確認できる情報は見つからなかった。
NGINXにパッチを適用し、影響を抑える
管理者はNGINX Open Sourceを安定版1.30.6またはメインライン版1.31.7にアップグレードする必要がある。NGINX Plusの顧客は製品固有のパッチ適用ガイダンスに従い、Kubernetesの運用担当者はNGINX Ingress Controller 5.7.0または適切にサポートされている長期サポート版の更新を導入する必要がある。
セキュリティチームはインターネットに公開されたインストールを優先し、次の対策を講じるべきだ。
- パッチを適用してインストールを確認する：対応する修正を適用し、バージョンを
nginx -v確認して、バックポートされたパッチの有無を確認する。これまで効果のなかったセキュリティ更新は、対処状況を確認する重要性を改めて示している。 - 脆弱な構成を監査する：使用して
nginx -T関連するalias,rewrite,map設定、AIO、SSI、HTTP/3、TLSセッションキャッシュの設定を調査する。 - 一時的な緩和策を適用する：必要に応じてHTTP/3や使用していないSSI/AIO機能を無効にし、TLSチケットの設定を見直し、脆弱なディレクティブの組み合わせを修正する。
- バックエンドへのアクセスを制限する：アプリケーションサーバーからの接続を、認証済みのプロキシと信頼できるネットワークに限定する。
- 不審な活動を監視する：予期しないワーカープロセスのクラッシュ、異常なリクエストボディーの活動、TLS認証の異常を調査する。最近のWordPress RCEの悪用も、パッチ適用後に侵害の有無を確認することの価値を示している。
- インシデント対応計画をテストする：エスカレーション、証拠の保全、ロールバック手順、サービス復旧を検証する。
構成の変更は、本番環境に導入する前にテストすべきだ。引き続きパッチ適用が主な対処となるが、その後、影響を受けるサービスと認証メカニズムが正しく機能することを確認する必要がある。
関連情報：Citrixも重大なNetScaler RCEの脆弱性を修正し、特定のSAML構成に影響する別の例は、バージョン確認と構成評価を組み合わせる必要性を示している。