ウェブサーバ「nginx」に複数脆弱性 - 「クリティカル」も

一方「CVE-2026-42946」は、「ngx_http_scgi_module」「ngx_http_uwsgi_module」における過剰なメモリ割り当てやバッファ過読み取りの脆弱性。

上流サーバの応答に対するマンインザミドル（MITM）攻撃が可能な場合に悪用でき、情報漏洩やワーカープロセスの再起動が生じるおそれがある。CVSS基本値は「8.3」、重要度は「高（High）」とレーティングされている。

さらにHTTP/3 QUICモジュールにおいて送信元IPアドレスを偽装できる「CVE-2026-40460」や、HTTP/2プロキシ時のリクエストインジェクション「CVE-2026-42926」、OCSPリクエストにおいて解放後のメモリへアクセスする「CVE-2026-40701」、文字コード変換処理におけるバッファオーバーフロー「CVE-2026-42934」などが判明している。

開発チームは、「nginx 1.31.0」「同1.30.1」をリリース。商用版「NGINX Plus」では「同R36 P4」「同R32 P6」がリリースされ、「CVE-2026-42926」を除く5件の脆弱性が修正された。

（Security NEXT - 2026/05/14 ） ツイート

PR

関連記事

「FortiBleed」に国内組織の情報も - 影響調査など実施を
DB管理ツール「pgAdmin 4」に脆弱性 - 3件が「クリティカル」
Synology製NAS向けのメールサーバアドオンに深刻な脆弱性
「OpenDJ」にクリティカル脆弱性 - アップデートで修正
「Node.js」に12件の脆弱性 - 修正版を公開
ID管理基盤「OpenAM」にアップデート - 多数の脆弱性を修正
UbiquitiやLantronix製品の脆弱性悪用に注意喚起 - 米当局
「Chrome」に「クリティカル」4件を含む脆弱性修正アップデート
Cisco、7月1日の脆弱性修正を事前予告 - 「Catalyst Center」など対象
シンクライアント管理製品「Dell WMS」に深刻な脆弱性