「nginx」に複数のクリティカル脆弱性 - 修正版が公開

ウェブサーバ「nginx」に複数の脆弱性が明らかとなった。有償版、オープンソース版のいずれも影響を受ける。

F5は現地時間2026年6月17日にセキュリティアドバイザリを公開し、3件の脆弱性「CVE-2026-42055」「CVE-2026-42530」「CVE-2026-48142」を明らかにした。

「CVE-2026-42055」は、「proxy」「grpc」モジュールに確認されたヒープベースのバッファオーバーフローの脆弱性。特定の構成とした場合に影響を受ける。悪用されるとワーカープロセスの再起動を引き起こしたり、メモリ保護機能の「ASLR（Address Space Layout Randomization）」が無効の場合、任意のコードが実行されるおそれがある。

「CVE-2026-42530」は「HTTP/3」モジュールに明らかとなった「Use After Free」の脆弱性で、オープンソース版のみ影響を受ける。「HTTP/3 QUIC」を利用する場合、細工したセッションにより、QPACKエンコーダストリームを再オープンさせることが可能でメモリ保護を回避できる場合はコードの実行が可能となる。

F5ではこれら2件の脆弱性について共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」とされる。「CVSSv3.1」で評価した場合は「8.1」となり、重要度が「高（High）」となる。

（Security NEXT - 2026/06/18 ） ツイート

PR

関連記事

「OpenAM」に深刻な脆弱性 - アップデートを公開
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Adobe Campaign Classic」に悪用リスク高い脆弱性 - 早急に更新を
エレコム製無線LAN機器に複数脆弱性 - アップデートを提供
「Unbound」に複数脆弱性 - キャッシュ汚染などに対処
「Chrome」にセキュリティ更新 - 脆弱性370件を修正
「Node.js」のアップデートが公開 - 脆弱性11件を修正