ウェブサーバ「nginx」に複数脆弱性 - 「クリティカル」も

一方「CVE-2026-42946」は、「ngx_http_scgi_module」「ngx_http_uwsgi_module」における過剰なメモリ割り当てやバッファ過読み取りの脆弱性。

上流サーバの応答に対するマンインザミドル（MITM）攻撃が可能な場合に悪用でき、情報漏洩やワーカープロセスの再起動が生じるおそれがある。CVSS基本値は「8.3」、重要度は「高（High）」とレーティングされている。

さらにHTTP/3 QUICモジュールにおいて送信元IPアドレスを偽装できる「CVE-2026-40460」や、HTTP/2プロキシ時のリクエストインジェクション「CVE-2026-42926」、OCSPリクエストにおいて解放後のメモリへアクセスする「CVE-2026-40701」、文字コード変換処理におけるバッファオーバーフロー「CVE-2026-42934」などが判明している。

開発チームは、「nginx 1.31.0」「同1.30.1」をリリース。商用版「NGINX Plus」では「同R36 P4」「同R32 P6」がリリースされ、「CVE-2026-42926」を除く5件の脆弱性が修正された。

（Security NEXT - 2026/05/14 ）ツイート

ウェブサーバ「nginx」に複数脆弱性 - 「クリティカル」も

関連リンク

PR

関連記事