「nginx」に複数脆弱性、「クリティカル」も - 修正版を公開

ウェブサーバ「nginx」の開発チームは現地時間2026年7月15日、複数の脆弱性へ対処したセキュリティアップデートをリリースした。「クリティカル（Critical）」とされる脆弱性にも対処している。

F5は現地時間7月15日にアドバイザリを公開し、3件の脆弱性「CVE-2026-42533」「CVE-2026-60005」「CVE-2026-56434」について明らかにした。有償版、オープンソース版のいずれも影響を受ける。

「CVE-2026-42533」は、ヒープバッファオーバーフローの脆弱性。「map」ディレクティブにおける特定の構成や、キャッシュ不可能な変数を利用している場合に影響を受けるおそれがある。

細工したHTTPリクエストにより、認証を必要とすることなくワーカープロセスが再起動するおそれがあるほか、メモリ保護が不十分な稼働環境では、コードの実行につながるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2026/07/16 ）ツイート