「NGINX JavaScript」に深刻な脆弱性 - 修正版が公開

ウェブサーバ「nginx」において「JavaScript」を利用するためのモジュール「NGINX JavaScript（njs）」に深刻な脆弱性が確認された。

現地時間2026年5月19日にセキュリティアドバイザリを公開。特定環境下において、認証なしにリモートより悪用できるヒープバッファオーバーフローの脆弱性「CVE-2026-8711」について明らかにしたもの。

「js_fetch_proxy」ディレクティブの設定に問題があり、クライアントから制御可能な「NGINX変数」を含む設定で、外部HTTPリクエスト処理を行う特定の設定環境では、細工したHTTPリクエストによりワーカープロセスでサービス拒否を引き起こすことが可能だという。

メモリ保護機能「ASLR（Address Space Layout Randomization）」が有効となっていない環境では任意のコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。「CVSSv3.1」では「8.1」で重要度は「高（High）」とされる。

同モジュールを利用するオープンソースの「nginx」および商用版である「NGINX Plus」のいずれも影響を受ける。開発チームでは脆弱性に対処した「njs 0.9.9」をリリース。利用者にアップデートが呼びかけられている。

（Security NEXT - 2026/05/20 ）ツイート