ウェブサーバ「nginx」の「HTTP/3」モジュールに脆弱性

ウェブサーバ「nginx」の「HTTP/3」実装に脆弱性が明らかとなった。アップデートが提供されている。

F5が現地時間2026年9月15日にセキュリティアドバイザリを公開し、脆弱性「CVE-2026-90439」が明らかとなったもの。

「HTTP/3」を処理するモジュールに明らかとなったヒープベースのバッファオーバーフローの脆弱性。

特定の構成で「HTTP/3」と「OpenSSL 3.5.0」および以前のバージョンを利用している場合、TLSハンドシェイクの処理中に限定的なヒープバッファオーバーフローが発生するおそれがあり、サービス拒否や限定的なデータの破損が生じるおそれがある。

脆弱なモジュールを利用するオープンソースの「nginx」、商用版「NGINX Plus」をはじめ、「NGINX Ingress Controller」「NGINX Gateway Fabric」「NGINX Instance Manager」が影響を受ける。

（Security NEXT - 2026/09/24 ）ツイート