「HAProxy Data Plane API」に認証バイパスの深刻な脆弱性

負荷分散ソフトウェア「HAProxy」の設定管理用APIである「HAProxy Data Plane API」に、認証を回避できる深刻な脆弱性が明らかとなった。

相互TLS認証（mTLS）を設定した際、HTTPやUNIXドメインソケット経由のアクセスに必要な認証まで無効になる脆弱性「CVE-2026-109575」が明らかとなったもの。

共通のリクエスト処理において、認証方式を切り替える実装の不備に起因。特定の認証設定を行うことで認証機能が適用されなくなるおそれがあり、認証なしにAPIの管理機能を利用することが可能となる。

CVE番号を採番したMITREは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価している。

HAProxy Technologiesでは、「同3.4.4」「同3.3.9」「同3.2.17」「同3.0.25」「同2.9.29」を現地時間2026年10月9日にリリースし、脆弱性を解消した。

（Security NEXT - 2026/10/14 ）ツイート