「nginx」に複数のクリティカル脆弱性 - 修正版が公開

ウェブサーバ「nginx」に複数の脆弱性が明らかとなった。有償版、オープンソース版のいずれも影響を受ける。

F5は現地時間2026年6月17日にセキュリティアドバイザリを公開し、3件の脆弱性「CVE-2026-42055」「CVE-2026-42530」「CVE-2026-48142」を明らかにした。

「CVE-2026-42055」は、「proxy」「grpc」モジュールに確認されたヒープベースのバッファオーバーフローの脆弱性。特定の構成とした場合に影響を受ける。悪用されるとワーカープロセスの再起動を引き起こしたり、メモリ保護機能の「ASLR（Address Space Layout Randomization）」が無効の場合、任意のコードが実行されるおそれがある。

「CVE-2026-42530」は「HTTP/3」モジュールに明らかとなった「Use After Free」の脆弱性で、オープンソース版のみ影響を受ける。「HTTP/3 QUIC」を利用する場合、細工したセッションにより、QPACKエンコーダストリームを再オープンさせることが可能でメモリ保護を回避できる場合はコードの実行が可能となる。

F5ではこれら2件の脆弱性について共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」とされる。「CVSSv3.1」で評価した場合は「8.1」となり、重要度が「高（High）」となる。

（Security NEXT - 2026/06/18 ）ツイート

「nginx」に複数のクリティカル脆弱性 - 修正版が公開

関連リンク

PR

関連記事