NGINXは2026年10月14日、5件の脆弱性を修正したNGINX Open Source 1.30.6と1.31.7を公開しました。修正対象には、特定の設定で発生し、条件次第でリモートコード実行(RCE)につながるメモリ破損のほか、TLSセッションの偽造や、HTTP/3で上流に転送するリクエストへのデータ注入が含まれます。
影響はバージョンと設定の組み合わせで変わります。Webサーバーやリバースプロキシを運用している場合は、利用している保守系統の修正版と、実際に有効な設定を合わせて確認してください。
修正された5件と、影響を受ける設定
NGINXの公式セキュリティ一覧では、今回の5件はいずれも「medium」です。一方、F5がCVEプログラムに登録した情報では、CVSS v4.0の基本値でメモリ破損の3件が9.2(Critical)、TLSセッション偽造が8.3(High)、HTTP/3の問題が6.9(Medium)と評価されています。評価主体と尺度が異なるため、公式一覧の「medium」とCVSSの値は単純に比較できません。F5はCVSS v3.1でも評価しており、今回の5件の基本値は5.3〜8.1です。
| CVE | 主な条件と影響 | NGINX OSSの影響バージョン | F5のCVSS v4.0 |
|---|---|---|---|
| CVE-2026-15176 | 同じlocationでaliasとrewriteを使い、URI変更後の$request_filenameをset、return、アクセスログなどで参照する構成。ヒープバッファオーバーフローによりワーカーが停止し、条件次第でコード実行につながります。 |
0.1.29〜1.31.6 | 9.2 / Critical |
| CVE-2026-93479 | 正規表現を使うmapで、出力変数より先にキャプチャ変数をrootやログ書式から参照する構成など。キャッシュされない特定の変数を含む文字列式でも発生し得ます。ヒープバッファオーバーフローによる停止・条件付きコード実行の問題です。 |
1.30.0〜1.30.5 1.31.2〜1.31.6 |
9.2 / Critical |
| CVE-2026-97205 | AIO(非同期ファイル入出力)を有効にした特定構成で、include virtualを含むSSIページを処理すると、解放後使用(UAF)が発生する可能性があります。メモリ破損・ワーカー停止・条件付きコード実行につながります。 |
0.8.11〜1.31.6 | 9.2 / Critical |
| CVE-2026-97629 | 共有セッションキャッシュを使い、明示的な鍵ファイルなしでTLSセッションチケット鍵を自動更新する構成。セッション偽造により、クライアント証明書の検証を回避される可能性があります。 | 1.23.2〜1.31.6 | 8.3 / High |
| CVE-2026-95101 | HTTP/3とproxy_request_buffering onを使う構成。上流サーバーに転送するリクエストにデータを注入される可能性があります。公式変更履歴にはclient_max_body_sizeの制限回避も記載されています。 |
1.25.0〜1.31.6 | 6.9 / Medium |
影響バージョンはNGINX公式一覧、条件・影響とCVSS v4.0は主にF5のCVE登録情報に基づきます。表はOSS版を対象としています。範囲内でも、修正済みの1.30.6以降(1.30系)と1.31.7以降(1.31系)は影響を受けません。いずれもF5の評価では事前の認証や利用者操作を必要としませんが、攻撃には該当する設定などの前提があります。
F5のCVE登録情報には、技術サポート終了版は評価対象外との注記があり、一部のCVEでNGINX公式一覧と影響範囲の表記が異なります。本記事のOSS版の範囲はNGINX公式一覧を採用しています。たとえば、CVE-2026-97629の開始版はNGINX公式が1.23.2、F5登録情報は1.23.3です。
コード実行の可能性がある3件について、F5はASLR(アドレス空間配置のランダム化)が無効、または攻撃者がASLRを回避できる場合という条件を挙げています。F5によると、影響を受けるのはワーカープロセスで、管理プレーンには影響しません。
TLSセッション偽造は、共有キャッシュと鍵の設定を確認
CVE-2026-97629の対象となるのは、ssl_session_cache shared:name:sizeを設定し、ssl_session_ticket_keyによる明示的な鍵ファイルを指定せず、自動でセッションチケット鍵を更新する構成です。自動更新する鍵のうち1つが未初期化のまま残り、セッションを偽造できる可能性があります。
F5のCVE登録情報では、偽造は非決定的で、攻撃者が結果を制御できるものではないとされています。ただし、クライアント証明書による検証を回避し、本来アクセスできない情報や機能へ到達する恐れがあると説明しています。
共有キャッシュは公式ドキュメントの設定例にも使われています。クライアント証明書を認証に使っている環境では、共有キャッシュの有無だけでなく、チケットと鍵ファイルの設定まで確認してください。F5によると、ssl_session_tickets off;でセッションチケットを無効にしている構成は、このCVEの影響を受けません。
更新先は1.30.6 / 1.31.7、配布元の修正状況も確認
今回の5件を修正したOSS版は、stable系統の1.30.6とmainline系統の1.31.7です。1.30.6の変更履歴と1.31.7の変更履歴には、今回の5件のCVEが修正内容として記載されています。
1.29系以前の上流版を使っている場合は、修正版のある1.30系または1.31系への移行が必要です。
ディストリビューションや製品に同梱されたNGINXを使っている場合は、配布元のセキュリティ情報で、修正が取り込まれたパッケージを確認してください。バックポートにより、表示される版番号だけでは修正済みか判断できない場合があります。NGINX Plusはバージョン番号と保守系列が異なるため、以下の商用版の情報で確認してください。
公式ドキュメントによると、nginx -vでバージョン、nginx -Tで読み込まれる設定全体を確認できます。設定を変更したら、nginx -tで構文を検査してから反映します。反映後は、証明書認証・プロキシ転送・SSIなど、利用している機能が正常に動くかも確認してください。
NGINX Plusは現行系列とCVE別の上限を確認
F5のCVE登録情報では、NGINX PlusのR33〜R36と37.0系・37.1系が影響を受けます。R33〜R36については、同じ系列内の修正版が示されていません。NGINX公式のPlusリリース情報では、R33〜R36のセキュリティ更新はすでに終了しています(R36は2026年9月2日まで)。これらの系列を使っている場合は、修正済みのPLS.37系統(LTSまたはCR)への移行が必要です。37系の影響範囲は、HTTP/3のCVE-2026-95101だけ上限が異なります。
| CVE | Plus 37.0系(LTS)の影響範囲 | Plus 37.1系以降(CR)の影響範囲 |
|---|---|---|
| CVE-2026-15176 / 93479 / 97205 / 97629 | 37.0.0以上、37.0.5.1未満 | 37.1.0以上、37.1.0.1未満 |
| CVE-2026-95101 | 37.0.0以上、37.0.7.1未満 | 37.1.0以上、37.2.0.1未満 |
4件は2026年9月2日公開のPLS.37.0.5.1 LTS / PLS.37.1.0.1 CRで、CVE-2026-95101は10月14日公開のPLS.37.0.7.1 LTS / PLS.37.2.0.1 CRで修正されています。
NGINX公式のPlusリリース情報が現行版として示しているのは、PLS.37.0.7.1 LTSとPLS.37.2.0.1 CRです。両方のリリース項目でCVE-2026-95101の修正を確認でき、今回の5件のCVE登録情報が示す影響範囲から外れています。旧系列から移行する場合は、同じ資料のUpgrade notesで設定変更などの条件も確認してください。
すぐに更新できない場合の一時的な回避策
F5がCVE登録情報で示している回避策は、脆弱性ごとに異なります。
- CVE-2026-15176: 該当locationでの
aliasや$request_filenameの使用を避けます。 - CVE-2026-93479: 名前のないキャプチャを名前付きキャプチャに切り替え、参照を正規表現があるブロック内に限定します。
- CVE-2026-97205:
aioを無効にするか、SSIページを提供しない構成にします。 - CVE-2026-97629: 共有キャッシュの設定を外すか、
ssl_session_ticket_keyで鍵を明示的にファイルから読み込む構成に変更し、自動鍵更新を使わないようにします。または、ssl_session_tickets off;でセッションチケットを無効にします。 - CVE-2026-95101:
proxy_request_buffering offを設定し、リクエストのバッファリングを無効にします。
これらは各脆弱性に個別に対応する一時的な措置です。F5の回避策がすべての発生条件をカバーするとは明記されていないため、修正版への更新を基本としてください。1つの回避策で他のCVEは防げません。また、設定変更は性能や既存機能にも影響するため、実環境に適用する前に検証してください。
実悪用の状況
2026年10月16日11時42分(日本時間)に取得したCISA KEVカタログ(2026.10.15版)では、今回の5件はいずれも未掲載でした。確認したNGINXの告知とF5のCVE登録情報にも、実悪用を確認したとの記述は見当たりませんでした。公開された概念実証コード(PoC)の有無についても、確認した資料には記載がありませんでした。
KEVに載っていないことは、実悪用がないことの証明にはなりません。外部に公開しているサーバーやクライアント証明書認証を使う環境では、修正版への更新を優先してください。
NGINXのHTTP/3・HTTP/2/gRPCに関する過去の脆弱性は、関連記事で解説しています(今回の5件とは別のCVEです)。
コメント