ウェブサーバ「nginx」に複数脆弱性 - 3件が「クリティカル」との評価も

同じく「CVE-2026-93479」もヒープバッファオーバーフローの脆弱性で、正規表現による変数の処理などに起因。一方「CVE-2026-97205」は、「非同期ファイルI/O（AIO）」とウェブページに別ファイルの内容を組み込む「サーバーサイドインクルード（SSI）」を組み合わせた場合に影響を受ける「Use After Free」の脆弱性としている。

特定の構成や条件下で細工されたリクエストを処理するとサービス拒否につながるおそれがあり、メモリ保護の機能が無効化されている場合や、回避できる場合にはコード実行に至る可能性もある。

また「nginx」では、F5の評価において重要度が「高（High）」とされる「CVE-2026-97629」が判明。特定の設定において「TLSセッション」が偽造され、クライアント証明書の検証を回避されるおそれがある。

さらに「中（Medium）」とされる「CVE-2026-95101」が確認された。「HTTP/3」による転送リクエストの処理に関する脆弱性で、不正なデータが挿入されるおそれがある。

オープンソース版では「nginx 1.31.7」「同1.30.6」にてこれら脆弱性を修正した。商用版である「NGINX Plus」では、脆弱性によって修正バージョンが異なるが、「同37.2.0.1」「同37.0.7.1」ではこれら5件の脆弱性が解消されている。

（Security NEXT - 2026/10/20 ）ツイート

ウェブサーバ「nginx」に複数脆弱性 - 3件が「クリティカル」との評価も

関連リンク

PR

関連記事