「nginx」に複数のクリティカル脆弱性 - 修正版が公開

ウェブサーバ「nginx」に複数の脆弱性が明らかとなった。有償版、オープンソース版のいずれも影響を受ける。

F5は現地時間2026年6月17日にセキュリティアドバイザリを公開し、3件の脆弱性「CVE-2026-42055」「CVE-2026-42530」「CVE-2026-48142」を明らかにした。

「CVE-2026-42055」は、「proxy」「grpc」モジュールに確認されたヒープベースのバッファオーバーフローの脆弱性。特定の構成とした場合に影響を受ける。悪用されるとワーカープロセスの再起動を引き起こしたり、メモリ保護機能の「ASLR（Address Space Layout Randomization）」が無効の場合、任意のコードが実行されるおそれがある。

「CVE-2026-42530」は「HTTP/3」モジュールに明らかとなった「Use After Free」の脆弱性で、オープンソース版のみ影響を受ける。「HTTP/3 QUIC」を利用する場合、細工したセッションにより、QPACKエンコーダストリームを再オープンさせることが可能でメモリ保護を回避できる場合はコードの実行が可能となる。

F5ではこれら2件の脆弱性について共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」とされる。「CVSSv3.1」で評価した場合は「8.1」となり、重要度が「高（High）」となる。

（Security NEXT - 2026/06/18 ） ツイート

PR

関連記事

「Splunk」向けのAI拡張ツールに複数の脆弱性
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件
「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性
「Langflow」にRCE脆弱性 - フロー共有環境に影響
「Joomla」向け編集ツール「JCE」、脆弱性悪用に注意
「MariaDB」に複数脆弱性 - アップデートで修正
「Firefox」にアップデート - 脆弱性40件を修正
脆弱性の悪用カタログに2件をあらたに追加 - 米当局
「Cisco Catalyst SD-WAN Manager」に脆弱性 - 侵害有無の確認を